Le capacità di Kali Linux sono molteplici e certamente vanno oltre i contenuti coperti da questa guida introduttiva.
In questa lezione parleremo di ulteriori utilizzi possibili, non coperti nelle lezioni precedenti.
Parleremo in prima battuta delle capacità di analisi forense, disciplina che cura l’acquisizione di informazioni da dispositivi di memorizzazione digitale. Vedremo inoltre alcuni strumenti capaci di eseguire attacchi alle password, sia a forza bruta che a dizionario, e concluderemo l’analisi con strumenti molto popolari per lo sniffing di pacchetti in reti wireless e cablate.
Analisi forense
In un precedente approfondimento su HTML.it, abbiamo già parlato di analisi forense con Linux.
Fondamentalmente, gli strumenti per l’analisi forense mirano a recuperare/scoprire le seguenti classi di informazioni:
- File eliminati;
- File danneggiati;
- File cifrati;
- Contraffazioni digitali.
Va sicuramente sottolineato che Kali Linux non è l’unica distribuzione in grado di eseguire analisi forense. Piuttosto, esistono parecchie distribuzioni più adatte allo scopo. Tra queste va sicuramente menzionata CAINE (Computer Aided Investigative Environment), DEFT (Digital Evidence & Forensics Toolkit) e Parrot.
Per eseguire l’analisi forense su una macchina, avremo la possibilità di eseguire Kali Linux live CD, e avviare la distribuzione in modalità forense, come indicato in questa guida.
In tal caso avremo la garanzia che il disco principale verrà montato in sola lettura, e qualunque altra memoria secondaria non sarà montata se non quale risultato di un’azione esplicita dell’utente. Come pubblicizzato dagli sviluppatori di Kali: ”tutto quello che accadrà sulle memorie secondarie sarà dettato dall’utente stesso”.
Tra i principali strumenti di analisi forense disponibili su Kali, segnaliamo:
- Bulk-extractor: estrae informazioni da memorie (anche corrotte), quali indirizzi mail, numeri di carte di credito, URLs;
- Cuckoo sandbox: consente l’analisi dinamica dei malware, particolarmente utile ai professionisti della sicurezza informatica per determinare le cause di corruzione di una macchina compromessa;
- Foremost: recupera files cancellati da dischi formattati;
- P0f: consente l’analisi passiva (senza alcuna interferenza) del traffico di rete TCP/IP per la determinazione delle caratteristiche di eventuali attaccanti. Può determinare le caratteristiche del sistema operativo dell’attaccante, della distanza, delle preferenze di lingua, e consente anche la rilevazione della “user-agent forgery”;
- Volatility: un framework scritto in Python, e sotto licenza GNU, per l’estrazione di informazioni dal dump di memorie volatili (es. RAM).
Attacchi alle password
Una delle caratteristiche principali di Kali linux è quella di fornire un enorme supporto alla scoperta delle password, sia su sistemi stand-alone che verso applicazioni web. Per maggiori dettagli possiamo dare un'occhiata alla nostra guida per attaccare le password con Kali.
Per attaccare una password direttamente esistono due metodi principali:
- Attacco a dizionario: si tenta di indovinare la password da un elenco di parole note o che abbiano un senso per la vittima, e si cerca di combinarle finchè non si scopre la password effettivamente utilizzata;
- Attacco a forza bruta: molto oneroso in termini computazionali, si cerca di indovinare la password tentando tutte le combinazioni possibili di caratteri. Si può cercare di ridurre la complessità dell’attacco riducendo il set di caratteri a disposizione; ad esempio si possono prima tentare solo password formate da lettere, aggiungendo poi i numeri e così via.
Tra gli strumenti principali messi a disposizione da Kali Linux per la scoperta delle password vi segnalo:
- Hashcat: uno strumento che consente di risalire alla password originaria, partendo dal suo hash. Fornisce il supporto ad oltre 200 algoritmi di hashing, e può essere utilizzato per invertire l’hash delle password di sistemi Linux, OSX e Windows;
- John the ripper: un altro famosissimo strumento per invertire l’hash delle password. Rispetto ad hashcat offre il supporto anche alla rilevazione ed al cracking di password cifrate con DES e Blowfish;
- Hydra: un framework per l’attacco di password che offre supporto all'attacco di oltre quaranta protocolli di rete quali http, ftp, ssh, LDAP, Telnet, VNC e così via;
- SQLdict: offre la possibilità di eseguire attacchi a dizionario verso macchine SQL Server. Lo strumento è semplicissimo da utilizzare, richiede l'indirizzo della macchina da attaccare ed il nome utente:
Figura 50. Interfaccia grafica di SQLDict (click per ingrandire)
Sniffing
Gli strumenti di sniffing consentono di monitorare il passaggio di dati tra due o più host. Anche in questo caso Kali mette a disposizione una miriade di strumenti atti allo scopo.
Tra questi mi preme segnalarvi alcuni dei più utilizzati:
- SSLStrip: consente di decifrare le informazioni di una connessione protetta SSL effettuando un attacco di tipo Man-In-The-Middle, sostituendo il link cifrato HTTPS con semplici collegamenti http verso la vittima, e continuando ad inviare informazioni cifrate verso il server. Chiaramente SSLStrip effettua anche il keylogging delle informazioni che transitano nella comunicazione diventando uno strumento potenzialmente letale per la vittima;
- Wireshark: uno strumento popolarissimo che contiene una miriade di funzionalità atte a rilevare informazioni da pacchetti di rete. Tra le funzionalità più utili ai professionisti della sicurezza informatica vi sono: la live capture, utilizzo delle espressioni regolari, decodifica in tempo reale di archivi, decifrature di SSL/TLS, WPA2, e WEP.
