Danksagung und Vorwort

Zunächst möchte ich mich an dieser Stelle bei all denjenigen bedanken, die mich während der Arbeit an diesem Buchs unterstützt und motiviert haben.

Ganz besonders gilt der Dank meiner Freundin, die mich während der gesamten Zeit motiviert hat und es mir nicht übel nahm, dass ich so viel von unserer gemeinsamen Freizeit in dieses Projekt steckte - danke Schatz!

Dieses Buch baut stark auf meinen ersten Buch auf. Sie sollten also Grundlegende Linux-Kenntnisse oder "Hacken mit Kali-Linux" gelesen haben. Darüber hinaus werden wir in dem Buch einige eigene Angriffscodes entwickeln und daher sollten Sie zumindest einige HTML, JS und PHP Grundkenntnisse mitbringen um einigen Beispielen etwas leichter folgen zu können. Dazu kommen noch einige Beispiele in Python 3. Programmierkenntnisse in zumindest irgendeiner Sprache sind also definitiv von Vorteil...

Für diejenigen Leser, die diese nicht besitzen werde ich die wichtigsten Grundlagen aber dennoch beiläufig erwähnen. Dies ersetzt aber keinesfalls eine fundierte Einführung in Linux, das Arbeiten mit der Bash oder eine Programmiersprache!

Ein Wort der Warnung

An dieser Stelle will ich in aller Deutlichkeit sagen - wer das hier Erlernte gegen fremde Webseiten oder Server ohne Zustimmung der Eigentümer einsetzt macht sich strafbar! Wer allerdings die Tools und die hier entwickelten Scripts dafür benutzt seine eigene Seite zu testen wird die Sicherheit enorm steigern können, indem er mögliche Einfallstore und Schwachstellen identifiziert und danach beheben kann.

Wer seine eigenen Webseiten angreift sollte auf jeden Fall vorab den Hoster um Erlaubnis fragen, damit die Administratoren bescheid wissen und nicht sofort einen Abuse-Report an Ihren Internetanbieter senden. Darüber hinaus ist es auch ratsam den eigenen Provider zu informieren, damit der nicht vorsorglich Ihren Internet-Anschluss sperrt, sobald er merkt was Sie da treiben.

Ich will an dieser Stelle nochmals in aller Deutlichkeit sagen: Dieses Buch ist nicht als Anleitung zum Begehen von Straftaten gedacht und auch nicht als Anleitung wie man einer eventuellen Strafverfolgung entgehen kann!

Impressum

Bibliografische Information der Deutschen Nationalbibliothek:

Die Deutsche Nationalbibliothek verzeichnet diese Publikation in der Deutschen Nationalbibliografie; detaillierte bibliografische Daten sind im Internet über www.dnb.de abrufbar.

© 2016-2017 Mark B.

Herstellung und Verlag:

BoD – Books on Demand GmbH, Norderstedt

ISBN:

9783746090573

Inhalt

• Danksagung und Vorwort
  • Ein Wort der Warnung
• Warum ich dieses Buch geschrieben habe
• Hacker, Cracker, Scriptkiddies
• Der Werkzeugkasten für den Angriff
  • Kali-Linux
  • Die Testumgebung für unsere Reise einrichten
• Vorbereitungen für einen Angriff
  • Erkenntnisse und Angriffsvektoren
• Unauffälliger Scannen
• Die ersten Angriffe auf den Server
  • Wordpress Admin-Passwort bruteforcen
  • Nach Zugangsdaten phishen
  • EXKURS - Spezielle Trojaner selbst entwickeln
• DVWA im Detail
  • Command Execution
  • Cross Site Request Forgery (CSRF)
  • File Inclusion
  • SQL Injection
  • Blind SQL Injection
  • Upload
  • Reflected Cross Site Scripting (XSS)
  • Stored Cross Site Scripting (XSS)
  • Ein letzter Fehler
• Schlusswort
• Weitere Buchprojekte

Warum ich dieses Buch geschrieben habe

Angriffe auf Webseiten lassen sich am einfachsten nach dem Ziel einteilen:

Angriffe, die auf den Server an sich abzielen dienen beispielsweise dazu, einen anonymen Speicherplatz zum Ablegen von illegalen Inhalten, Trojanern und dergleichen zu finden oder den Server für den Versand von Spam oder Phishing-Mails zu verwenden.

Manche Angreifer haben es auf die User der Seite abgesehen und wollen die Seite nur dazu verwenden Userrechner zu infizieren oder im großen Stiel Kreditkartendaten abgreifen, um diese selbst betrügerisch zu verwenden oder im Darknet zu verkaufen.

Angriffe, die auf den Domainnamen abzielen können verwendet werden Traffic zu stehlen und auf die eigene Homepage umzuleiten oder die Domain an sich zu entführen, um den eigentlichen Besitzer zu erpressen.

Um Ihr Ziel zu erreichen gibt es genausoviel Möglichkeiten wie Intentionen. Webserver bieten viele Dienste an - in der Regel sind neben dem eigentlichen Webserver auch Datenbank-Dienste, Mailserver, FTP-Server und oftmals noch einige weitere Services auf diesem Rechner untergebracht. Daher bieten sich viele Angriffspunkte auf den Server direkt. Darüber hinaus werden Webseiten oftmals schnell entwickelt bzw. weiterentwickelt, was allzuoft zu unentdeckten Code-Fehlern führt, die ein Angreifer ausnutzen kann.

Oftmals wird es Angreifern zu einfach gemacht indem Server schlecht gewartet werden, der Webseiten-Quelltext übereilt oder ungenügend getestet online geht oder wesentliche Sicherheitsaspekte bei der Entwicklung oder Konfiguration übersehen werden.

Ich will mit diesem Buch zeigen mit welchen Mitteln Hacker vorgehen, um interessierten Lesern das Wissen zu vermitteln, das nötig ist, um die eigenen Seiten zu prüfen und Schwachstellen und Fehler zu identifizieren bevor es jemand anders macht.

Hacker, Cracker, Scriptkiddies, ...

Da es keine allgemeingültige Definition gibt und auch die Begriffe einen fließenden Übergang haben nenne ich Ihnen an dieser Stelle meine persönliche Definition:

Einen Hacker kann man als eine Person definieren, die sich mit der Sicherheit von Computersystemen und Computerprogrammen beschäftigt und darin nach Schwachstellen sucht. Dies kann unterschiedliche Gründe haben, vom Zeitvertreib bis hin zum Wissensdrang. Findet ein Hacker eine solche Schwachstelle dann wird er diese Veröffentlichen um die Welt auf den Fehler aufmerksam zu machen. Was ein Hacker aber nicht machen wird, ist diese Schwachstelle zum eigenen Vorteil auszunutzen, um daraus Kapital zu schlagen. Daher bezeichnet man diese Hacker auch als Whitehats.

Cracker hingegen sind jene Hacker, die nicht diesem Moralkodex folgen und in Systeme eindringen um Schaden anzurichten, Geheimnisse auszuspionieren um diese dann zu verkaufen, Computersysteme oder Webseiten lahmlegen um Geld zu erpressen, und so einiges mehr. Der Antrieb dieser Personen ist in der Regel Kapital aus Ihren Fähigkeiten zu schlagen und möglichst viel Geld in möglichst kurzer Zeit zu verdienen. Mittlerweile sind viele dieser Cracker Teile größerer Organisationen und für weltweit einige Milliarden Euro Schaden pro Jahr verantwortlich. Diese Gruppe wird auch als Blackhats bezeichnet.

Whitehats wie auch Blackhats sind technisch versiert und in der Lage Schwachstellen in Software zu finden und Tools zu entwickeln, die diese Schwachstellen ausnutzen.

Scriptkiddis besitzen diese Fähigkeiten nicht. Sie verfügen im besten Fall über Wissen wie man Hacker-Tools einsetz. Oftmals beschränkt sich Ihr Wissen sogar nur auf den Bruchteil der Funktionen diverser Tools. Weiters wissen Scriptkiddies in der Regel auch nicht wirklich wie genau die Tools mit denen sie hantieren, arbeiten und kennen die technischen Hintergründe nicht, die ihre bevorzugten Hacker-Tools ausnützen. Daher wissen sich auch viele der Scriptkiddies nicht selber zu helfen, wenn die Standard-Vorgehensweise einmal nicht klappen würde. Aber das macht sie nicht weniger gefährlich. Diese Gruppe umfasst gut 90-95% der Personen, die Angriffe auf ein IT-System durchführen und in dieser Gruppe ist alles enthalten - von 14 Jährigen, der nur mal ausprobieren will was er im Internet gefunden hat - bis hin zum hauptberuflichen Cyberkriminellen, der an Ihre Konto- und Kreditkartendaten will.

In weiterer Folge des Buches werde ich den Begriff „Hacker“ als Überbegriff für alle hier genannten unterarten benutzen, wie es die meisten Leute aus dem üblichen Sprachgebrauch her gewohnt sind. Die Differenzierung um welche Art von „Hacker“ es sich in einem bestimmten Fall handelt, überlasse ich an der Stelle Ihnen als Leser.

Der Werkzeugkasten für den Angriff

Wer sich ernsthaft mit dem Hacken von Webseiten beschäftigen möchte, sollte sich ebenfalls mit Linux beschäftigen, denn der Großteil der Webserver wird auf dieser Plattform laufen.

Einige Grundlagen zum Thema Linux und das Setup von Kali-Linux habe ich sehr ausführlich in meinem ersten Buch "Hacken mit Kali-Linux" beschrieben. Daher erspare ich es uns an dieser Stelle diese Grundlagen nochmals aufzuführen. Ich will Ihnen stattdessen hier einige Alternativen vorstellen, damit interessierte Leser diese ausprobieren können falls sie es wünschen.

Auch in diesem Buch werde ich wieder meine bevorzugte Pentest-Distribution (Kali-Linux) verwenden. Dies ist aber bei Leibe nicht die einzige Distro mit einer fertigen Tool-Sammlung zum Hacken. Im Grunde kann man alle hier vorgestellen Tools in jeder beliebigen Linux-Distribution installieren und viele der Tools sind auch für Mac OSX oder Windows verfügbar! Der Vorteil einer Distribution, die alle diese Tools schon in den Paketquellen enthält, liegt aber auf der Hand:

Einerseits können so alle Tools mit der zentralen Paketverwaltung auf dem neuesten Stand gehalten werden und andererseits spart man sich viel Zeit diverse Tools von Hand zu suchen und zu installieren, die nicht von einer bestimmten Distribution angeboten werden.

Aber zurück zu den Alternativen - an dieser Stelle will ich Ihnen neben Kali auch noch folgende Pentest-Distros vorstellen:

Parrot Security OS

... ist eine auf Debian basierte Distrobution, die mit einem sehr umfangreichen Angebot an Hackertools. Darüber hinaus gibt es ebenfalls eine Parrot-Variante, die für den täglichen Gebrauch gedacht ist und als Standard-Desktop-Distro ausgelegt ist. Obgleich ich damit nur wenige Erfahrungen gemacht habe und Parrot nur kurz getestet habe halte ich es für einen ernstzunehmenden Konkurrenten für Kali und eine sehr gute Alternative. Darüber hinaus will ich die recht aktive Community erwähnen, die für Einsteiger durchaus sehr hilfreich sein kann.

(https://www.parrotsec.org/download.fx)

Fedora Security Spin

... ist eine auf Redhat basierte Distribution, die mit einer deutlich beschränkteren Anzahl an Tools bestückt ist. Dennoch will ich sie an dieser Stelle für all diejenigen nennen, die sich mit Redhat basierten Systemen besser auskennen und sich nicht unbedingt auf Debian oder Arch basierte Distributionen umgewöhnen wollen. Leider fehlen viele der Tools, die ich bevorzugt einsetze - in wieweit diese in den Repositories vorhanden und mit yum bzw. dnf nachinstallierbar sind, habe ich nicht getestet. Fedora zeichnet sich vor allem dadurch aus, dass viele Pakete in der aktuellsten Version verfügbar sind (bleeding edge), was allerdings nicht unbedingt für die bestmögliche Stabilität sorgt.

(https://labs.fedoraproject.org/de/security/)

Blackarch

... basiert, wie der Name vermuten lässt, auf Arch-Linux. Wie für Arch üblich, richtet sich das System an sehr erfahrene Linux-User und so gibt es keine einfachen grafischen Installationstools und ähnliche Helfer. Auch der verwendete Window-Manager Namens Fluxbox ist sehr sporadisch. Obgleich ich nicht unerfahren im Umgang mit Linux bin, genieße ich einen gewissen Arbeitskonfort und daher ist Blackarch für mich persönlich keine Distribution mit der ich gern arbeite. Wer es allerdings ausprobieren möchte, kann dies mit dem Live-Image auch ohne vorherige Installation machen.

(https://blackarch.org/downloads.html)

Samurai Web Testing Framework

... ist keine eigenständige Linux-Distribustion, sondern ein Virtueller PC, der mit VMware oder VirtualBox gestartet werden kann. Samurai ist für Pentests von Webseiten gedacht und enthält ausschließlich die hierfür gedachten Tools. Dies vernachlässigt einige Angriffsvektoren, die direkt auf den Server abzielen. Außerdem bin ich persönlich kein Frund von virtuellen PCs zu diesem Zweck. Wer allendings eine fertige VM für Web-Pentesting sucht, wird hier fündig.

(https://sourceforge.net/projects/samurai/files/)

Diese Liste ist keinesfalls vollständig und es gibt noch dutzende weitere Distros, die für Pentesting oder Hacking optimiert sind bzw. die entsprechenden Tools in den Paketquellen anbieten. Allerdings will ich an dieser Stelle noch kurz ein paar Worte zur Auswahl der Distribution verlieren.

Oftmals dauert das Bruteforcen von Passwörtern oder diverse andere Aktivitäten im Rahmen eines Angriffs Stunden oder gar Tage. Daher ist mir die Stabilität des Systems essentiell wichtig! Sogar wichtiger als die neueste Version eines bestimmten Tools zu haben und ich nehme lieber in Kauf, ein einzelnes Tool ohne die Paketverwaltung händisch auf eine neuere Version upzudaten falls dies unbedingt erforderlich ist, als 3 oder 4 Tage Cracking-Fortschritt zu verlieren weil das System abstürzt. Als Pentester ist man ohnehin oft genug genötigt sich mit schlecht dokumentierten und instabilen Exploit-Code herumzuschlagen, als dass man zusätzlich noch Beta-Tester für eine Distribution sein möchte oder eine Distribution verwenden möchte, für die wenig Unterstützung online zu finden ist. Außerdem möchte man nicht alle paar Monate auf eine andere Distro wechseln müssen weil die Macher der gewählten exotischen Distribution keine Lust mehr haben das Projekt fortzuführen.

Wer gerne alles selber bastelt und ohne Hilfe Fehler selbst debuggen will kann natürlich jede noch so kleine und exotische Distribution verwenden. Ich für meinen Teil setze aber nur auf die großen und etablierten Distributionen und ziehe wie bereits gesagt Stabilität der Aktualität vor und verlange vom System einen gewissen Arbeitskomfort und daher käme für mich abgesehen von Kali nur noch Parrot Security OS in Frage.

Kali-Linux

Kali wird von Offensive Security zusammengestellt und kann über die offizielle Homepage heruntergeladen werden: https://kali.org/downloads/

Zur Auswahl stehen hierbei ISO-Dateien, die Sie auf eine DVD brennen oder auf einen USB-Stick spielen können. Dabei ist es wichtig das ISO-Image nicht als Daten-DVD zu brennen oder einfach auf einen USB-Stick zu kopieren. Weiters haben Sie noch die Auswahl von Image-Dateien für ARM-Prozessoren (zB Raspberry Pi).

Bei den ISO-Dateien gibt es daüber hinaus teilweise die Auswahl zwischen einer 32-bit und 64-bit Variante. Sollten Sie einen halbwegs aktuellen PC verwenden, nehmen Sie die 64-bit Variante. Falls Sie nicht sicher sind ob Ihre Hardware mit 64-bit klar kommt, dann wäre meine Empfehlung: Versuchen Sie sie 64-bit Variante und wenn es nicht klappt, dann erst nehmen Sie die 32-bit Variante. Ich entscheide mich hier für die 64-bit XFCE-Version, welche Ich Ihnen wärmstens empfehlen kann.

Nachdem Sie das Image heruntergeladen haben müssen Sie es auf eine DVD brennen. Hierzu können Sie unter Windows das Programm ImgBurn (http://imgburn.com) verwenden. Natürlich geht das ebenfalls mit vielen anderen Brennprogrammen. ImgBurn ist kostenlos, auf das Brennen von Image-Dateien spezialisiert und bietet daher kaum Spielraum für Fehler. Dennoch will ich Ihnen eine Schnellanleitung nicht vorenthalten.

Wenn Sie das Programm öffnen wählen Sie „Write Image to Disk“ in der Übersicht aus, die Sie nach dem Programmstart erhalten. Im folgenden Dialog finden Sie oben links einen Eintrag „Source“ und daneben einen Button mit einem Öffnen-Symbol. Klicken Sie auf das Symbol und wählen Sie die ISO-Datei aus, die sie heruntergeladen haben. Nehmen Sie die Häkchen bei „Test“ und „Verify“ am unteren Ende des Brenn-Fensters heraus und stellen Sie die Brenngeschwindigkeit möglichst niedrig ein. Danach können Sie auf den Brennen-Knopf direkt unter diesen Checkboxen klicken.

Mac-User können das Festplatten-Dienstprogramm verwenden. Sie finden es im Ordner „Dienstprogramme“ innerhalb des „Programme“-Ordners. Das dritte Symbol an der Oberseite des Programmes ist ein gelb-schwarz gestreifter Kreis. Wenn Sie auf dieses Brennen-Symbol klicken, sehen sie den Öffnen-Dialog. Wählen Sie die ISO-Datei aus und klicken Sie auf brennen. Danach kommt eine Bestätigung, die Ihnen sagt, dass Ihr Mac bereit ist zum Brennen. Bestätigen Sie diese nochmals mit brennen.

Linux-User können die ISO-Datei einfach von der Konsole aus brennen. Verwenden Sie dazu diesen Befehl:

wodim -v -dao --eject speed=4 /pfad/zur/datei.iso

Sollten Sie keinen DVD-Brenner zur Verfügung haben oder ihr Kali-Linux-PC, so wie mein Subnotebook, über kein DVD-Laufwerk verfügen, dann können Sie die ISO-Datei auf einen USB-Stick extrahieren lassen.

Verwenden Sie dazu das Programm Unetbootin (https://unetbootin.github.io). Wählen Sie dazu die ISO-Datei aus indem Sie den Punkt „Diskimage“ markieren, ISO im Dropdown-Feld auswählen und auf den „...“-Button klicken, um die ISO-Datei zu öffnen. Danach wählen Sie direkt darunter in dem Dropdown-Feld den USB-Stick aus und klicken auf OK. Wichtig ist, dass der USB-Stick mindestens 4GB freien Speicher braucht.

Linux-Nutzer können das auch mit einem einfachen Konsolenbefehl lösen:

dd if=/pfad/zur/datei.iso of=/dev/sd[X] bs=512k

Hierbei muss das [X] durch den passenden Laufwerksbuchstaben für den USB-Stick ersetzt werden. Wenn sie nicht sicher sind was Sie machen, dann lassen Sie die Finger von dd! Dieser Befehl ist unerbitterlich und kann Ihre gesamte Festplatte mit all Ihren Daten und den Betriebssystem unbrauchbar machen. Mit entsprechender Software können einige Daten sicherlich danach immer noch gerettet werden, aber lustig ist so eine Sache nicht.

Falls Sie dd einsetzen und auch sicher sind welches Laufwerk Sie überschreiben dann werden sie nicht ungeduldig, dd braucht seine Zeit und meldet auch keinen Fortschritt!

Die Testumgebung für unsere Reise einrichten

Einerseits ist es - wie eingangs schon erwähnt - illegal irgendwelche fremden Seiten anzugreifen und andererseits ist es auch höchstwahrscheinlich, dass sich an einer Seite die ich angreifen würde schon etwas geändert hat, bis Sie das Buch lesen. Daher sollten wir für unsere Reise eine einheitliche Labor-Umgebung einrichten in der wir arbeiten können und in der Sie vor allem, die gezeigten Beispiele auch genau nachvollziehen können.

Zu diesem Zweck werden wir einen virtuellen PC Namens Metasploitable 2 verwenden. Diesen können Sie unter:

https://sourceforge.net/projects/metasploitable/files/Metasploitable2/ herunterladen. In der ZIP-Datei sind dann folgende Dateien enhalten:

Metasploitable.nvram

Metasploitable.vmdk

Metasploitable.vmsd

Metasploitable.vmx

Metasploitable.vmxf

Die vmdk-Datei können wir als Festplatte in Virtualbox laden. Sie können auch gern den VMware Player verwenden um den VPC zu starten. Da dieser aber nicht für alle Plattformen verfügbar ist zeige ich die Vorgehensweise anhand von Virtualbox. Dieses Programm können Sie unter:

https://www.virtualbox.org/wiki/Downloads herunterladen.

Nachdem Sie das Programm installiert und gestartet haben klicken Sie auf den Neu-Button und führen Sie folgende Schritte aus: