de Deutsch en English
binsec GmbH

Informationssammlung

Die Phase der Informationssammlung ist uns auch hierbei ein treuer Begleiter. Im Detail benötigen wir Informationen über die Konfiguration des Systems, um eventuelle Missstände ausnutzen zu können. Beispielsweise könnte in einem Linuxsystem ein Cronjob angelegt worden sein, bei dem Benutzer root jede Stunde ein Script X ausführt. Sofern dieses Script von allen Systembenutzern beschrieben werden darf, können wir ganz ohne große Zaubertricks root-Berechtigungen erlangen. Eine simple Methode wäre, unseren aktuellen Benutzer in die sudoers-Gruppe aufzunehmen.

Die Fehlkonfiguration im obigen Szenario und somit unseren Hauptgewinn konnten wir nur durch die Zusammensetzung der Informationen über Benutzer (root), Dateien (Script X) und Dienste (Cronjob) erkennen. Sobald wir Zugriff auf ein System erhalten, sollten wir daher zumindest nach den unten aufgeführten Informationen Ausschau halten. Hierbei ist anzumerken, dass der grundsätzliche Sinn und Zweck der nachfolgenden Linuxbefehle auch auf andere Betriebssysteme übertragen werden kann.

Informationen über Benutzer

  • id
  • sudo -l
  • cat /etc/passwd
  • cat /etc/shadow
  • cat /etc/group
  • cat /etc/sudoers

Informationen über Dateien und Dienste

  • cat /etc/crontab
  • cat /etc/cron/
  • find / -uid 0 -perm -u=s -type f 2>/dev/null
  • grep -ir pass /*
  • ls -ahlR /root/
  • ls -ahlR /home/
  • ps aux

Informationen über das Netzwerk

  • ip addr show
  • hostname
  • ss -antp
  • iptables -L
  • cat /etc/resolv.conf

Informationen über den Kernel

  • lsb_release -a
  • uname -a

Letzte Änderung: 2022-12-15

Pentest Training

Werfen Sie einen Blick auf die Kapitel vom Pentest Training und lernen Sie Pentesting:

  1. Vorwort
  2. Einführung
  3. Rechtliche Rahmenbedingungen
  4. Hacking vs. Penetration-Testing
  5. Klassifizierung
  6. Aussagekraft von Penetrationstest
  7. Penetration-Testing-Standards
  8. Der Hacking-Leitfaden
  9. Vorführung eines Pentests
  10. Risikobewertung von identifizierten Schwachstellen
  11. Aufbau Dokumentation und Berichterstellung
  12. Plauderei aus dem Nähkästchen: Insights von Dubius Payment Ltd.

Kursinformationen Penetrationstest

Über das Pentest Training

Entdecken Sie die Welt des Penetration Testing. Lernen Sie Netzwerke zu infiltrieren sowie erfolgreich Systeme und Anwendungen zu penetrieren. Eignen Sie sich das notwendige Hacking-Handwerkszeug an und setzen Sie es bei der Durchführung von profesionellen Penetrationstest ein. Werden Sie zum Penetrationstester. Hier finden Sie die öffentlichen und kostenlosen Unterlagen zum Pentest Training der binsec academy GmbH. Die binsec academy GmbH bietet die dazugehörigen virtuellen Labor-Umgebungen und Zertifizierungen an. Das vermittelte Wissen zu Hacking and Penetration Testing ist aber allgemeingültig.

Über binsec academy GmbH

Die binsec academy GmbH ist der europäische Anbieter für Online Security Trainings mit virtuellen Labor-Umgebungen. Kernbestandteil aller Security Trainings ist die Vermittlung von Praxis, Praxis und nochmals Praxis. Im Wiki finden Sie hier die öffentlichen und frei verfügbaren Kurs-Materialien. Die Theorie in die Praxis umsetzen, können sie auf binsec-academy.com.

Keywords