Domain - Subdomain-Suche mit Hilfe von Subfinder

Subfinder ist ein beliebtes Open-Source-Tool, das Subdomains einer Domain aus öffentlichen Quellen sammelt. Es wird häufig von Pentestern und Sicherheitsforschern genutzt, um schnell einen Überblick über die Angriffsfläche einer Domain zu erhalten. Das Tool durchsucht verschiedene öffentliche Datenquellen und aggregiert die gefundenen Subdomains in einer übersichtlichen Liste.

Wofür wird Subfinder genutzt?

Mit Subfinder kannst du herausfinden, welche Subdomains einer Domain öffentlich auffindbar sind. Das ist besonders nützlich für:

• Sicherheitsanalysen: Identifikation potenzieller Schwachstellen oder veralteter Systeme.
• Bug Bounty: Erhöhung der Chancen, bisher unentdeckte Subdomains und damit verbundene Sicherheitslücken zu finden.
• Infrastruktur-Überblick: Schnelle Übersicht über die digitale Präsenz eines Unternehmens.
  
  

Installation (Go-Toolchain)

Subfinder ist in Go geschrieben und lässt sich einfach installieren. Voraussetzung ist eine funktionierende Go-Umgebung. Die Installation erfolgt mit folgendem Befehl:

go install -v github.com/projectdiscovery/subfinder/v2/cmd/subfinder@latest

Nach der Installation steht dir der Befehl subfinder in deinem Terminal zur Verfügung.

Erste Schritte

Um Subdomains für eine Domain zu sammeln, führe einfach folgenden Befehl aus:

subfinder -d beispiel.de

Das Tool durchsucht nun verschiedene Quellen und gibt eine Liste aller gefundenen Subdomains aus.

Ähnlich wie theHarvester (Domain - Digitale Spurensuche mit dem Tool theHarvester), kann man auch hier für Dienste die einen API-Schlüssel benötigen diese hinterlegen. Siehe https://docs.projectdiscovery.io/opensource/subfinder/install#post-install-configuration.

Fazit

Subfinder ist ein mächtiges Werkzeug für jeden, der sich mit IT-Sicherheit, Pentesting oder Bug Bounty beschäftigt. Dank der einfachen Installation und Bedienung ist es ideal für den schnellen Einstieg in die Subdomain-Discovery.

Security - WhatWeb Open-Source-Webscanner: Webanwendungen analysieren identifizieren

WhatWeb ist ein Open-Source-Webscanner, der speziell dafür entwickelt wurde Webanwendungen zu analysieren und zu identifizieren. Ein ähnliches Vorgehen habe ich bereits unter Security - Nmap Netzwerkscanner und Kali Linux und Hacking - Netzwerkscanner, nmap, Reverse Shell und Password Cracking mit hashcat beschrieben.

Da eine Installation per Windows nicht direkt möglich ist, empfehle ich eine Installation per Windows-Subsystem für Linux (WSL) oder über Distrobox.

WhatWeb erkennt, welche Technologien eine Website nutzt z. B. Content-Management-Systeme (CMS) wie WordPress oder Joomla, Webserver (Apache, Nginx), Programmiersprachen (PHP, Python), Frameworks (React, Angular) und vieles mehr.

Durch Skripte und Automatisierung kann WhatWeb große Mengen an Websites scannen, um z. B. veraltete Software oder unsichere Konfigurationen zu finden.

Installation

git clone https://github.com/urbanadventurer/WhatWeb.git

Da WhatWeb in Ruby geschrieben ist, müssen jetzt noch die Abhängigkeiten installiert werden:
sudo apt install -y ruby ruby-dev ruby-bundler build-essential make libssl-dev zlib1g-dev libyaml-dev

Jetzt in den Ordner "./WhatWeb" wechseln und den Webscanner installieren:
sudo make install

Metadaten anzeigen in in eine XML-Datei schreiben
whatweb shemel.de --log-xml=results.xml

User-Agent hinzufügen
whatweb --user-agent "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/143.0.0.0 Safari/537.36" https://shemel.de

Domain - Digitale Spurensuche mit dem Tool theHarvester

theHarvester ist ein OSINT-Tool, das automatisiert öffentlich verfügbare Informationen zu Domains aggregiert. Es nutzt über 40 Datenquellen (Suchmaschinen, DNS-Scanner und Metadaten-Dienste), um IPs, Subdomains, E-Mail-Adressen und mehr für eine initiale Angriffsflächenanalyse zu erfassen. Eine weitere Möglichkeit hatte ich vor einiger Zeit unter Security - Amass (Automated Attack Surface Mapping).

theHarvester ist über Kali Linux bereits vorinstalliert (siehe auch Windows-Subsystem für Linux (WSL) - Installation Kali Linux). Alternativ lässt sich theHarvester auch via Docker, pipx oder über den Python-Paketmanager uv aus dem lokalen Quellcode starten. Siehe auch https://github.com/laramies/theHarvester/wiki/Installation.

Unter Windows 11 kann man die Module mit dem Paketmanager winget installieren:
winget install uv Git.Git
git clone https://github.com/laramies/theHarvester
cd theHarvester

Steam Deck (Arch Linux) Installation:
curl -LsSf https://astral.sh/uv/install.sh | sh
source ~/.local/bin/env
git clone https://github.com/laramies/theHarvester
cd theHarvester

Ausführen (-d 'shemel.de' Domain welche zu untersuchen ist, -b 'all' alle hinterlegten Quellen durchsuchen):
uv run theHarvester -d shemel.de -b all

Mit Hilfe von -f result, lassen sich alle Ergebnisse in eine result.xml und result.json schreiben.

Die Meldung "Missing API key for …" bedeutet, dass diese Dienste einen API-Schlüssel benötigen, für die in der Regel Gebühren anfallen. Den Schlüssel muss man in die Datei "api-keys.yaml" eintragen.

QR-Code - Scan mit Risiko

Was früher nur in Werbung oder auf Verpackungen auftauchte, ist heute allgegenwärtig "QR-Codes". Wie man diese generieren kann habe ich unter Windows - QR Code generieren (Edge-Browser oder Word-Dokument) und Python - Generierung von QR-Code Bildern beschrieben.

Hinter dem praktischen Zugang zu Webseiten und Informationen lauert eine wachsende Gefahr. Cyberkriminelle nutzen manipulierte QR-Codes, um Nutzer auf täuschend echte Phishing-Seiten zu locken. Wer unbedacht scannt, riskiert, sensible Daten preiszugeben oder Opfer von Identitätsdiebstahl zu werden. Die perfide Masche: Die eingebetteten Links wirken harmlos, sind es aber oft nicht.

Mehr Sicherheit durch spezialisierte QR-Code-Apps

Die Standard-Kamera-Apps von Android und iOS zeigen beim Scannen eines QR-Codes meist nur die Zieladresse und das oft verkürzt oder unvollständig. So bleibt verborgen, wohin der Link tatsächlich führt. Mit raffiniert gestalteten URLs können Angreifer Nutzer gezielt täuschen. Abhilfe schaffen dedizierte QR-Code-Leser-Apps. Sie bieten mehr Transparenz, zeigen die vollständige URL und helfen dabei, verdächtige Links frühzeitig zu erkennen. 

• Cognex Barcode Scanners:
• iPhone
• Android

Wer auf Nummer sicher gehen will, sollte beim nächsten Scan lieber zweimal hinschauen!

FRITZ!Box - Brute-Force-Angriff per HTTPS beim Fernzugang unterbinden

Oft kommt es zu wiederholten Einbruchsversuchen in AVM Fritzboxen per HTTPS beim Fernzugang, vermutlich durch einen Bot, der Passwörter ausprobiert.

Alle Nutzerkonten mit Internetzugang sollten ein sicheres Passwort haben, das aus min. 16 Zeichen besteht (einschließlich Groß- und Kleinbuchstaben sowie Ziffern). 

Abhilfe schafft auch das Ändern des "TCP-Port für HTTPS" unter "Internet/Freigaben/Fritzbox-Dienste" auf einen zufälligen hohen Wert wie z.B. 54341. 

Dadurch werden Verbindungsversuche auf dem Standardport 443 ins Leere laufen und nicht im Log erscheinen. 

Scamming - Spamanrufe herausfiltern (Android), Website/Anrufe melden

Der Onlinebetrug (Scam) verursacht jedes Jahr Milliardenschäden. Darunter zählen zum Beispiel vermeintliche Supportanrufe, Schockanrufe oder auch Enkel- und Kindertrick-SMS und Anlagebetrug. Ich beschreibe kurz, wie man Spam-Anrufe auf dem Smartphone herausfiltert und wo man Spam-Anrufe melden kann.

Spam-Anrufe herausfiltern (Android)

Unter Android kann man Spam-Anrufe filtern und blockieren.

1. "Telefon-App" auf dem Smartphone öffnen.
2. Oben rechts auf das "Drei-Punkt-Menü" und "Einstellungen" auswählen.
3. "Anrufe-ID und Spam" auswählen.
4. Aktivieren der Optionen "Anrufe- und Spam-ID anzeigen" und "Spamanrufe herausfiltern".

Spam-Anrufe bei Bundesnetzagentur melden

Telefon-Spam kann man bei der Bundesnetzagentur meldet. Auf der folgenden Webseite gibt es viele Möglichkeiten, wie z.B. Belästigende Anrufversuche, Unerlaubte Telefonwerbung oder auch Ping-Anruf.

https://www.bundesnetzagentur.de/DE/Vportal/AnfragenBeschwerden/Beschwerde_Aerger/start.html

Ein gutes Beispiel für einen "Schockanruf", findet sich bei der "Polizeiliche Kriminalprävention Hamburg: Der Schockanruf".

 

IT Forensik - Datei in Bild verstecken oder finden (strings, binwalk)

Eine beliebige Datei lässt sich mit einem Trick ganz einfach mit einer Bilddatei verschmelzen und ist somit auf den ersten Blick nicht auffindbar. Aber mit den Linux Tools Strings und Binwalk können versteckte Dateien wieder aufgespürt werden.

1. Schritt "Dateien packen"

Ales erstes legt man mit Hilfe von z.B. 7-Zip der WinRAR zwei Dateien in ein Archiv. Dieses kann auch zusätzlich mit einem Passwort geschützt sein.

2. Schritt "Dateien zusammenführen"

Bit dem folgenden Befehl in der Kommandozeile (cmd) können jetzt die Dateien zusammengeführt werden.

copy /b Landschaft.jpg + Downloads.zip D:\

Es lässt sich jetzt gut erkennen, dass die "neue" Datei Landschaft.jpg deutlich mehr Speicherplatz belegt.

Analyse mit "Strings"

sudo apt install binutils
strings Landschaft.jpg

Strings druckt die Zeichenketten druckbarer Zeichen in Dateien und gibt sie in der Konsole aus. Man sieht sofort, es befinden sich zwei Dateinamen darunter.

Analyse mit "Binwalk"

sudo apt install binwalk
binwalk Landschaft.jpg

Binwalk durchsucht binary images nach eingebetteten Dateien und ausführbarem Code. Man erkennt sofort, dass es sich um ein Zip Archiv handelt.

Security - Open Source Intelligence (OSINT) Recherchen - Teil II

In meinem Betrag Security - Open Source Intelligence (OSINT) Recherchen bin ich bereits auf einige OSINT-Tools eingegangen, welche zur Aufdeckung von IT-Sec Schwachstellen genutzt werden können. In diesem Beitrag möchte ich auf weitere Beispiele verweisen, welche sich online oder mit Hilfe von Kali Linux einfach nutzen lassen.

DNSRecon - Mit Hilfe diesem Python-Skript lassen sich erste DNS-Informationen sammeln.

dnsrecon -d google.de

Nikto - Schwachstellenscanner, der Webserver auf gefährliche Dateien/CGIs, veraltete Serversoftware und andere Probleme scannt.

nikto -h google.de

w3af - Is ein Web Application Attack und Audit Framework.

Zphisher - Erstellt Fakes von populären Websites

Mitre Att&ck Matrix - Diese Matrix bietet Pentestern ein Framework für zielgerichtete Angriffe.

Nmap - Mit diesem Netzwerkscanner ist es möglich eine grobe Analyse von Netzwerken und möglichen Angriffsszenarien zu erstellen.

Security - Open Source Intelligence (OSINT) Recherchen

In den Beitrag Hacking - Mit Hilfe von Google bin ich bereits auf die Sammlung und Auswertung von öffentlicher Daten eingegangen. In diesem Beitrag möchte ich auch viele weitere Tools verweisen, welche sich IT-Sicherheitsexperten (aber auch Cyber-Kriminelle) zu Nutzen machen.

Webserver-Scan (siehe auch https://sebastianhemel.blogspot.com/2016/01/spion-im-wohnzimmer-offene-webcams.html)  können mit https://www.shodan.io und https://www.binaryedge.io abgefragt werden. Hier werden in der Regel die folgenden Daten gesammelt, Webserver (HTTP/HTTPS über die Ports 80, 8080, 443, 8443), FTP (Port 21), SSH (Port 22), Telnet (Port 23), SNMP (Port 161), SIP (Port 5060) und Real Time Streaming Protocol (RTSP, Port 554).

Schnelle IP-Checks lassen sich mit https://www.abuseipdb.com durchführen.

Eine Darknet Suchmaschine- und Datenarchiv ist https://intelx.io.

Schwachstellen Informationen lassen sich mit Hilfe von https://www.cvedetails.com oder https://vulmon.com abfragen. Siehe auch Hacking - Zed Attack Proxy (ZAP) Sicherheitslücken im Browser- und App-Traffic erkennen.

Domain Informationen können durch https://viewdns.info und https://crt.sh (Certificate Search Tool) abgefragt werden.

Eine Suche nach Transaktionen, Adressen, Blöcken und eingebetteten Textdaten in den Blockchains bietet https://blockchair.com/de und https://www.bitcoinabuse.com an.

Eine Überprüfung von Phishing Seiten ist durch https://openphish.com und https://checkphish.ai möglich.

Hacking - Mit Hilfe von Google

Mit Hilfe von Google Hacking (Google Dorking) ist es möglich indexierten Inhalt, welcher nicht für die Öffentlichkeit gedacht war, mit Hilfe von gezielten Suchanfragen schnell und einfach zu finden. Hierzu gab es von mir bereits vor einigen Jahren den Beitrag Spion im Wohnzimmer - Offene Webcams finden.

Exploit Database

Hier gibt es einen eigenen Bereich "Google Hacking" mit den neuesten bekannten Suchbegriffen.

DorkSearch

Unter dorksearch.com kann man auf über 7.000 vorgefertigte Begriife zugreifen und sie miteinander kombinieren.

Hacking - Netzwerkscanner, nmap, Reverse Shell und Password Cracking mit hashcat

In den Artikel Security - Nmap Netzwerkscanner und Kali Linux und Hacking - Nützliche Tools (PassView, Windows Login Unlocker, Recovery, Process Hacker, Network Sniffer) habe ich bereits etliche Beispiele beschrieben, welche Tools Hacker verwenden und wie sie dabei vorgehen. In diesem Beitrag werde ich noch etwas tiefer ins Detail gehen.

Netzwerkscanner (Netdiscover)

Netdiscover kann auch verwendet werden, um im Netzwerk-ARP-Pakete zu untersuchen oder Netzwerkadressen mithilfe des Auto-Scan-Modus zu finden. Siehe auch https://www.kali.org/tools/netdiscover/. Hierdurch lassen sich in einem Netzwerk potenzielle Angriffsziele ermitteln.

Installation: sudo apt-get install netdiscover
Aufruf: netdiscover -r 192.168.1.0/24

Hinweis: Netdiscover staret automatisch mit der ersten Netzwerkschnittstelle, die es findet.

nmap Funktion http-enum

Mit Hilfe von http-enum findet man automatisiert Dateien oder interessante Verzeichnisse auf einem Webserver. Dabei sendet das Script weit über tausend Abfragen für gängige Dateien und Verzeichnisse an den Server. So lassen sich schnell wichtige Informationen erhalten, ob einige bekannte Dienste oder Dateien auf dem Webserver offen zugänglich sind oder nicht.

Aufruf: nmap -n --script=http-enum 192.168.1.1 oder Domain.de

WordPress: Reverse Shell

Es gibt viele verschiedene Methoden WordPress anzugreifen (z.B. WordPress - Brute-Force Angriffe mit XML-RPC und REST-API), eine davon ist Zugriff auf die WordPress-Verwaltungskonsole mit Hilfe des Metasploit Framework https://www.kali.org/tools/metasploit-framework/. Hierdurch ist es dann auch mögloch eine "Reverse Shell" als Plugin zu installieren, um so "root" bzw. Vollzugriff auf den Server zu erhalten.
Das Vorgehen ist unter https://www.hackingarticles.in/wordpress-reverse-shell/ beschrieben.

Password Cracking mit hashcat

Hashcat ist ein extrem schnelles Tool zur Passwortwiederherstellung. So kann es hochkomplexe Passwörter in kürzester Zeit knacken. Dies ist möglich, wenn Passwörter einem Wörterbuch entstammen.
Ein gutes Tutorial für den Einstieg findet sich unter https://resources.infosecinstitute.com/topic/hashcat-tutorial-beginners/.

Hacking - Zed Attack Proxy (ZAP) Sicherheitslücken im Browser- und App-Traffic erkennen

Mit Hilfe von OWASP Zed Attack Proxy (ZAP) ist es möglich den Browser- und App-Traffic automatisiert nach kritischen Lücken zu durchsuchen und so auch Programmierfehler zu finden.

Zed Attack Proxy ist eine Open Source Software, welche von Sicherheitsforschern entwickelt wird. Mit Hilfe einer bereitgestellten VM (Virtuelle Maschine) OWASP BROKEN WEB APPLICATIONS PROJECT, welche eine Demo-Website mit absichtlichen Sicherheitslücken enthält, kann ZAP ohne Einschränkungen gestest werden.

So ist es zum Beispiel möglich, mit Hilfe von

• Command Injection eine web shell zu starten und somit Zugriff auf den Server zu gelangen. Dies lässt sich verhindern, indem man alle Benutzereingaben validiert (Shell-Escapes und Sonderzeichen entfernen) und nur Befehle zulässt, welche zwingend erforderlich sind.
• XSS bzw. Cross-Site-Scripting eigenen Code auf einer fremden Webseite temporär oder dauerhaft unterzubringen. Auch hier sollten Benutzereingaben validiert werden, um z.B. bei "Gästebucheinträgen" folgendes <script>document.location = "http://www.hacked.com";</script> zu verhindern.
• SQL-Injection Code in SQL-Anweisungen über Webseiteneingaben auszuführen, um in die SQL-Abfragen einzugreifen, welche an die Datenbank gesendet werden. Zum Beispiel User: admin Passwort: ' or '1'='1 => SELECT * FROM users WHERE name='admin' and password='' or '1'='1' => Passwort für admin wird nicht benötigt!
  

 

Weitere Hacking-Tools finden sich auch in meinem Beitrag Hacking - Nützliche Tools (PassView, Windows Login Unlocker, Recovery, Process Hacker, Network Sniffer).

Windows-Subsystem für Linux (WSL) - Installation Kali Linux

In den Beiträgen "Windows-Subsystem für Linux (WSL) - Installation" und "Windows-Subsystem für Linux (WSL) - Installation WSL 2" habe ich beschrieben, wie man WSL aktiviert und z.B. Ubuntu installiert. Mittlerweile gibt es eine Vielzahl an Linux Distributionen (wsl --list --online), darunter auch Kali Linux. Kali Linux ist eine Linux-Distribution (Debian basierend), die eine Sammlung von Tools für Penetrationstests und digitale Forensik umfasst.

Nach dem das Windows Subsystem installiert wurde (siehe Verlinkungen oben) kann man Kali Linux am einfachsten direkt über den Windows App Store installieren.

• Dafür nach "Kali Linux" suchen oder den folgenden Link verwenden und https://www.microsoft.com/store/productId/9PKR34TNCV07.
• Hinweis: Das Basis-Image enthält keine Tools (Penetration Testing Software) oder eine grafische Oberfläche, diese müssen über apt-Befehle installiert werden.

• Als nächstes sollte Kali Linux aktualisiert werden:
• sudo apt-get update
• sudo apt-get dist-upgrade
  

Installation der Penetration Testing Software

Um beispielsweise das Metasploit Framework zu installieren, muss der folgende Befehl ausgeführt werden:

• apt-get install metasploit-framework
  

Eine Übersicht für weitere nützliche Tools, wie z.B. nmap findet sich hier https://www.kali.org/tools/.

Hacking - Nützliche Tools (PassView, Windows Login Unlocker, Recovery, Process Hacker, Network Sniffer)

In der aktuellen c't 23/2021 bieten die Artikel "Hack Dich selbst" und "Kali Linux auf USB-Stick einrichten" einen guten Überblick über aktuelle Angriffsszenarien von Hackern.

Über den Link ct.de/y41x findet sich eine Sammlung von Tools, welche die folgenden Themen betreffen:

• Windows Passwort zurücksetzen
• NTPWEdit - Windows-Konten entsperren, neues Kennwort vergeben
• Windows Login Unlocker - Windows-Konten aufsperren, die mit einem Microsoft-Konto verknüpft sind
  

• Zugangsdaten, gespeicherte Logins und WLAN Schlüssel auslesen
• NirSoft - Windows Password Recovery Tools
• The LaZagne project - Open source application used to retrieve lots of passwords stored on a local computer.
  

• Passwörter mit Hilfe von Brute-Force knacken
• John the Ripper password cracker

• Gelöschte Dateien retten
• PhotoRec - Wiederherstellung digitaler Bilder und Dateien
  

• Prozesse im Arbeitsspeicher auslesen und manipulieren
• Process Hacker - A free, powerful, multi-purpose tool that helps you monitor system resources, debug software and detect malware
• Sysinternals Process Utilities, siehe auch Tools - Windows Sysinternals, Microsoft PowerToys.
  

• Kommunikationsverhalten bzw. Netzwerkverkehr loggen
• NirSoft - Network Monitoring Tools Package
• PacketCache - Windows service designed to continuously monitor the network interfaces of a computer and store the captured packets in memory (RAM)
• NetworkMiner - Open source Network Forensic Analysis Tool (NFAT) for Windows
• Security - Nmap Netzwerkscanner und Kali Linux 
• Wifite2 - Is designed to use all known methods for retrieving the password of a wireless access point (router)

• Content-Management-Systeme (WordPress), Datenbanken, Browser- und App-Traffic
• WPScan - WordPress Lücken finden
• SQLmap - Datenbank Lecks aufspüren SQLmap
• OWASP ZAP - Browser- und App-Traffic
• Metasploit - Penetration Testing Software
  

Fast alle Tools finden sich unter "Kali Linux", siehe auch Kali Linux Live image für CD/DVD/USB/PXE.

Security - Click-Jacking-Angriffe vermeiden mittels CSP-Header (Content Security Policy)

Die Content-Security-Policy (CSP) entstand ursprünglich unter dem Namen "Content-Restriction", der Grund dafür war die damals zunehmenden Sicherheitslücken bei Internetskripten wie z.B. durch Cross-Site-Scripting (XSS). In diesem Artikel gehe ich auf die Implementierung des CSP-Frame-Vorfahren ein.

Die Richtlinie "frame-ancestors", legt fest welche Domains die Seite in Frames und iFrames einbauen bzw. einbetten dürfen und funktioniert mit allen aktuellen Browserversionen außer dem Internet Explorer IE. Siehe hierzu auch https://caniuse.com/?search=frame-ancestors oder https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Content-Security-Policy/frame-ancestors .

• "frame-ancestors 'none';" ==> Alle ablehnen
• "frame-ancestors 'self';" ==> Selber erlaubt, aber alle anderen ablehnen
• "frame-ancestors 'self' 'shemel.de' 'test.de';" ==> Selber erlaubt, und bestimmte Domains zulassen

Damit der Browser die Content Security Policy anwendet, muss vor der Auslieferung des HTML-Dokuments ein spezieller HTTP-Header gesetzt werden. Hierfür gibt es die folgenden Möglichkeiten:

HTML-Code: <meta>-Element hinzufügen

Wird vom Webserver kein CSP-Header versendet, kann dies mit den den folgenden <meta>-Elementen nachgeholt werden:

<head>
...
  <meta http-equiv="Content-Security-Policy" content="frame-ancestors 'none';">
  <meta http-equiv="X-Content-Security-Policy" content="frame-ancestors 'none';">
  <meta http-equiv="X-WebKit-CSP" content="frame-ancestors 'none';">
...
</head>

Ähnlich funktioniert dies auch bei serverseitigen Scriptsprachen, wie zum Beispiel PHP:

<?php
...
header("Content-Security-Policy: frame-ancestors 'none';");
header("X-Content-Security-Policy: frame-ancestors 'none';");
header("X-WebKit-CSP: frame-ancestors 'none';");
...
?>

Webserver Konfiguration: Apache HTTP

Das Modul mod_headers muss aktiv sein:
a2enmod headers //Enabling module headers.

Anschließend muss die Konfiguration in der httpd.conf angepasst werden:
Header set Content-Security-Policy "frame-ancestors 'none';"

Nach dem Speichern der Datei muss der Apache Webserver neu gestartet werden.

Security - Amass (Automated Attack Surface Mapping)

Amass ist ein vielseitiges Cybersicherheitstool zum Sammeln von Informationen über Internet-Domains. Amass fragt z.B. Suchmaschinen an, untersucht SSL-Zertifikate und sendet Reverse-DNS-Anfragen an die jeweilige Domain. So lassen sich z.B. vergessene Server aufspüren und gezielt angreifen.

Eine Installation mit Hilfe von Docker, ist sehr schnell möglich:

sudo docker build -t amass https://github.com/OWASP/Amass.git

Hinweis: Docker muss natürlich installiert sein (sudo apt install docker.io) und der Docker Daemon muss gestartet sein (sudo dockerd) "Cannot connect to the Docker daemon at unix:///var/run/docker.sock. Is the docker daemon running?". Siehe auch https://sebastianhemel.blogspot.com/2020/12/raspberry-pi-docker-installieren-arm.html .

Andere Installationsmöglichkeiten finden sich unter: https://github.com/OWASP/Amass/blob/master/doc/install.md

Zu dem ist Amass auch Bestandteil von Kali Linux einer Linux-Distribution (Debian basierend), die eine Sammlung von Tools für Penetrationstests und digitale Forensik umfasst. Siehe auch https://gitlab.com/kalilinux/packages/amass/blob/kali/master/doc/user_guide.md.

Das Ausführen über das Docker-Image ist relativ einfach und so kann man z.B. mit dem folgenden Befehl alle Subdomains einer bestimmten Domain herausfinden.

sudo docker run -v ~:/.config/amass/ amass enum -ip -d shemel.de

Amass verfügt über folgende Unterbefehle:

• amass intel -- Discover targets for enumerations
• amass enum -- Perform enumerations and network mapping
• amass viz -- Visualize enumeration results
• amass track -- Track differences between enumerations
• amass db -- Manipulate the Amass graph database

Weitere Informationen und Beispiele finden sich hier:

• https://github.com/OWASP/Amass/blob/master/doc/user_guide.md
• https://github.com/OWASP/Amass/blob/master/doc/tutorial.md

 

Security - Nmap Netzwerkscanner und Kali Linux

Mit Hilfe von Nmap (Netzwerkscanner) ist es möglich eine grobe Analyse von Netzwerken und möglichen Angriffsszenarien zu erstellen. In diesem Beitrag gehe ich kurz auf die Möglichkeiten, Ursachen und das Hardening ein.

Installation von Nmap unter Ubuntu:

sudo apt-get install nmap

Anschließend lässt sich mit dem folgenden Befehl die Top 2500 Ports in einem Netzwerk scannen. Zusätzlich wird die Geschwindigkeit des Scans erhöht und Informationen zum Betriebssystem der Clients werden angezeigt. Siehe auch https://wiki.ubuntuusers.de/nmap/#Scan-Techniken.

nmap --top-ports 2500 -A -v -T4 192.168.1.0/24

Hinweis: Ja nach dem, welches Netzwerk man scannen möchte muss man die korrekt Netzmaske verwenden.

Kali Linux ist eine Linux-Distribution (Debian basierend), die eine Sammlung von Tools für Penetrationstests und digitale Forensik umfasst. Nmap ist hier als wichtges Werkzeug enthalten! Dieser erste Scan kann als Basis dienen um z.B. mit Hilfe von Nessus einen detaillierten Netzwerk- und Vulnerability (Scan von vorhandenen und bekannten Sicherheitslücken) durchzuführen.

Anschließend kann man mit Hilfe der gefunden Sicherheitslücken 

• z.B. mit THC Hydra (hydra -L /home/pi/usernames.txt -P /home/pi/passwords.txt 192.168.1.111 ssh) oder
• Mimikatz), gezielt Angriffe auf die jeweiligen Clients versuchen.

Was sind die Ursachen?

• Unnötige Ports offen
• Verwendung schwacher Passwörter (siehe auch https://sebastianhemel.blogspot.com/2020/11/wordpress-brute-force-angriffe-mit-xml.html)
  
• Nicht korrekt beendete RDP Sessions
• Fehlende Patches

Was kann man dagegen tun ("Hardening")?

• Sicherheitsfunktionen aktivieren
• Unnötige Ports schließen (siehe auch https://sebastianhemel.blogspot.com/2021/05/security-netzwerkcheck-port-scan-von.html)
  
• Standardpasswörter ändern
• Ungenutzte User deaktivieren oder löschen
• Nicht erforderliche Dienste deaktivieren
• BIOS Passwort setzen
• Unnötige Software deinstallieren

Security - Netzwerkcheck (Port-Scan) von heise

Mit dem Netzwerkcheck von heise ist es möglich schnell herauszufinden, ob man über seine öffentliche IP-Adresse des Routers ggf. angreifbar ist.

Es bietet sich an, direkt einen „Komplett-Check (Standard-Ports + Router-Tests)“ durchzuführen.

Idealerweise sollte das folgende Ergebnis angezeigt werden:

Android - (App) APK Decompiler und Quellcode anzeigen

Mit Hilfe von einem APK Decompiler wie z.B. "jadx - Dex to Java decompiler" ist es möglich eine kompilierte Android App wieder zurück in den Source Code umzuwandeln. Dies ist oft der erste Schritt um im Quellcode sensible Informationen (z.B. Passwörter eines Admin-Accounts oder Zugangsdaten zu Datenbanken bzw. Schnittstellen) zu finden.

Des Weiteren ist es möglich die Funktionsweise bzw. Programmierung der jeweiligen App genauer nachvollziehen umso IT-Security Schwachstellen zu finden. 

Die APK (Android Package Kit) Datei der Android App wird benötigt

Um an die Datei zu kommen, gibt es verschieden Möglichkeiten:

1. APK Datei vom Smartphone auf PC kopieren mit Hilfe von ADB, wie man die Android Debug Bridge installieren kann, hatte ich bereits in einem älteren Artikel ABD Installation Amazon Fire-Tablet - Spezialangebote (Werbung) entfernen beschrieben.
• adb shell pm list packages (z.B. "com.example.appname")
  
• adb shell pm path com.example.appname (Pfadnamen der App anzeigen)
  
• adb pull /data/app/com.example.appname-2.apk D:\Downloads
  
2. Installierte Apps im Total Commander anzeigen und auf die SD-Karte oder WebDAV kopieren.
• 
3. Mit Hilfe von Sideloading die Android-App aus einem anderen Marketplace herunterladen.

Update 05.06.2022

APK-Quellen im Internet:

• APKMirror - https://www.apkmirror.com/
  
• APK Downloader - https://apk-dl.com/
  
• APKPure - https://apkpure.com/de/
  
• APKDownload - https://apkdownload.com/
  

Dekompilieren

Mit einem Dekompilier wandelt man den Bytecode (Maschinen- oder Objektcode) wieder lesbaren Quellcode in eine höhere Programmiersprache um. Dabei wird versucht, den Vorgang des Kompilierens umzukehren und den Quellcode wieder bestmöglich herzustellen.

Hinweis: Das Dekompilieren darf nicht mit dem Disassemblern verwechselt werden, denn die Assemblersprache ist nur eine andere Darstellung des kompilierten Maschinencodes!

Dekompilieren einer APK Datei mit jadx => JAVA

Update 05.06.2022

• dex2jar Releases - Konverter, um DEX- bzw. APK- in JAR-Dateien umzuwandeln.
• Java Decompiler - Der Java-Dekompiler „JD“.
• CFR - another java decompiler - Der Java-Dekompiler „CFR“.
  

Die APK Datei wird mit Hilfe von jadx direkt in die entsprechenden Java-Dateien umgewandelt.

Download des aktuellen Release von github: https://github.com/skylot/jadx/releases/latest

Am einfachsten verwendet man "jadx" mit einer grafischen Benutzeroberfläche. Der Start erfolgt mit der Datei jadx-gui-1.2.0.exe . Anschließend wählt man im Fenster die APK Datei aus, welche dekompiliert werden soll.

Wurde die Datei ausgewählt, dekompiliert jadx sie und stellt auf der linken Seite der Anwendung alle Java-Pakete und -Dateien der APK aufgelistet bereit. Hinweis: Verwendet die App als native Code Basis Cordova, basiert die App selbst auf Javascript (der Quellcode befindet sich in dann unter Resources / Assets / www).

Jetzt ist es möglich nach sensiblen Informationen z.B. http(s)://, passw, key, user, rsa, aes, sslsocket und secret zu suchen.

Dekompilieren per Webseite

Zum Beispiel die Webseiten http://www.decompileandroid.com/ und http://www.javadecompilers.com/apk bieten das Dekompilieren als Online-Service an.

Apache HTTP Server - Basis Wissen (Module mod_info, mod_status, mod_remoteip)

Als Erweiterung zum Artikel Apache HTTP Server - vHost Konfiguration bietet sich ein Blick in die offizielle Apache Dokumentation für die Module mod_info, mod_status und mod_remoteip an.

Apache Module mod_info

Bietet einen umfassenden Überblick über die Serverkonfiguration, https://httpd.apache.org/docs/2.4/mod/mod_info.html.

Achtung: Sobald mod_info auf den Server geladen ist, ist seine Funktion in allen Konfigurationsdateien verfügbar, einschließlich Dateien pro Verzeichnis (z. B. .htaccess). Dies kann sicherheitsrelevante Auswirkungen auf die Webseiten haben. Daher am Besten den Zugriff auf den "localhost" beschränken, bzw. nur für bestimmte IP-Adressen freigeben.

<Location "/server-info">
    SetHandler server-info
    # Allow access from server itself
    Require ip 127.0.0.1

    # Additionally, allow access from local workstation
    Require ip 192.168.1.111
</Location>

Apache Module mod_status

Bietet Informationen zur Serveraktivität und -leistung, https://httpd.apache.org/docs/2.4/mod/mod_status.html.

Achtung: Auch hier ist zu beachten, dass beim Laden des Moduls mod_status der Server die Funktion in allen Konfigurationsdateien verfügbar ist, einschließlich der Dateien pro Verzeichnis (z. B. .htaccess). Dies kann auch hier sicherheitsrelevante Auswirkungen auf die Webseite haben! Daher am Besten den Zugriff auf den "localhost" beschränken, bzw. nur für bestimmte IP-Adressen freigeben.

<Location "/server-status">
    SetHandler server-status
    # Allow access from server itself
    Require ip 127.0.0.1

    # Additionally, allow access from local workstation
    Require ip 192.168.1.11
</Location>

Apache Module mod_remoteip

Das Module Remote IP https://httpd.apache.org/docs/2.4/mod/mod_remoteip.html ersetzt die ursprüngliche Client-IP-Adresse durch die IP-Adresse des useragent, die von einem Proxy oder einem Load Balancer über die Anforderungsheader angezeigt wird. So kann man dennoch auf die IP-Adresse des Besuchers reagieren.

Apache Serversignatur

Anpassung unter: /etc/apache2/conf-available/security.conf

ServerSignature
Bestimmt ob die Serversignatur angezeigt wird.
ServerSignature On | Off

ServerTokens
Bestimmt die Art der Serversignatur, wobei Full die meisten und Prod die wenigsten Informationen ausgibt.
ServerTokens Full | OS | Minimal | Minor | Major | Prod