FASE 2 - FUNDAMENTACIÓN TEÓRICA Y PREPARACIÓN DE ENTORNO DE PRUEBAS DE SEGURIDAD
JHONATAN FERNANDO VEGA CALDERÓN
UNIVERSIDAD NACIONAL ABIERTA Y A DISTANCIA “UNAD” ESCUELA DE CIENCIAS BÁSICAS, TECNOLOGÍA E INGENIERÍA ECBTI ESPECIALIZACIÓN EN SEGURIDAD INFORMÁTICA SEGURIDAD EN APLICACIONES WEB 12 OCTUBRE DE 2016
FASE 2 - FUNDAMENTACIÓN TEÓRICA Y PREPARACIÓN DE ENTORNO DE PRUEBAS DE SEGURIDAD
JHONATAN FERNANDO VEGA CALDERÓN
ANIVAR NESTOR CHAVES Tutor
UNIVERSIDAD NACIONAL ABIERTA Y A DISTANCIA “UNAD” ESCUELA DE CIENCIAS BÁSICAS, TECNOLOGÍA E INGENIERÍA ECBTI ESPECIALIZACIÓN EN SEGURIDAD INFORMÁTICA SEGURIDAD EN APLICACIONES WEB 12 OCTUBRE DE 2016
CONTENIDO
Pág . 2. 3. 3.1 . 3.2 . 4. 5. 6 7
INTRODUCCION……………………………………………………… … OBJETIVOS. ……………………………………………………………… OBJETIVO GENERAL………………………………………. ………….. OBJETIVOS ESPECIFICOS...………………………………………… PLANTEAMIENTO DEL PROBLEMA…………………………………. DESARROLLO DE LA ACTIVIDAD…………………………………… CONCLUSIONES……………………………………………………… … BIBLIOGRAFIA…………………………………………………………..
4 5 5 5 6 7 18 19
2. INTRODUCCION
Actualmente las empresas están expuestas a una gran cantidad de amenazas que vulneran sus sistemas informáticos, de allí la importancia de mantener la seguridad de los sistemas puesto que las consecuencias de un ataque informático pueden poner en riesgo la integridad de la información. Es muy importante tener en cuenta que las empresas u organizaciones no se pueden permitir el lujo de denunciar ataques a sus sistemas, pues el nivel de confianza de los clientes (ciudadanos) bajaría enormemente. Los ataques informáticos tienen gran incidencia negativa en varios sectores de la información de cada entidad, puesto que esta se podría ver modificada inadecuadamente, además de que se podría volver publica información privilegiada tanto de la organización como de sus clientes al dejar expuesta la información de sus usuarios, entre otros. En consecuencia las empresas se ven afectadas por problemas relacionados con la seguridad informática, ya que evidentemente la seguridad en Internet afecta de forma excesiva a las organizaciones que operan en la web como bancas electrónicas, por ejemplo las cuentas bancarias en internet no son más que bases de datos y, como tal, están expuestas. En definitiva, la seguridad afecta a todos: a las grandes compañías por ser una gran tentación para los hackers, los cuales ven en ellas una posible opción de filtración y a los usuarios individuales por su vulnerabilidad. Por lo tanto con el presente trabajo se pretende abordar el problema del acceso al conocimiento de las fuentes de riesgo empresarial frente al concepto del hacking y sus posibilidades de solución ya que gran cantidad de organizaciones están expuestas al ver como sus sistemas de información además de que son vulnerados por causas externas no cuentan con personal capacitado para minimizar este tipo de ataques. Así pues el principal problema no es de carácter técnico sino de toma de consciencia de los peligros potenciales en la transmisión de información confidencial y el desconocimiento de las distintas técnicas de hacking.
3. OBJETIVOS
3.1.
OBJETIVO GENERAL
Construir un documento de análisis comparativo para conocer las principales técnicas de hacking mediante ayudas instructivas que permitan comunicar las posibles amenazas a los que se encuentran expuestos los sistemas de información de la organización. 3.2.
OBJETIVOS ESPECIFICOS
Identificar los posibles ataques presentados en los sistemas de información.
Comprender las debilidades más comunes que pueden ser aprovechadas y cuáles son los riesgos asociados, con el fin de ejecutar de manera inteligente y eficaz estrategias de seguridad efectivas.
Realizar Practica 1.
4. PLANTEAMIENTO DEL PROBLEMA
4.1.
Una vez estudiados los temas puede participar en el foro dando respuestas a las preguntas orientadoras que se proponen a continuación y discutiendo las respuestas de los compañeros.
4.1.1. 4.1.2. 4.1.3. 4.1.4. 4.1.5. 4.1.6. 4.2.
En qué consiste el Hacking Etico? Qué es y cómo funciona el protocolo HTTP? Qué es y cómo funciona el protocolo TLS? En qué consiste la autenticación web? Qué diferencia existe entre los esquemas STRIDE y DREAD? Qué tipos de ataques existe en la Web y en que consisten?
Practica 1 Esta práctica consiste en descargar e instalar la distribución Kali de Linux. Se trata de una distribución especializada en pruebas de seguridad informática. Puede instalar Kali Linux en una memoria USB de 16 Gb o en una máquina virtual. No es recomendable que lo instale como sistema operativo principal de su equipo de cómputo. Luego, instalar DVWA y verificar que funciona correctamente. Realice una exploración y reconocimiento tanto las herramientas de Kali Linux como DVWA. Producto entregable En el foro de la fase uno describa el proceso y muestre evidencias de haberlo llevado a cabo.
4.3.
PRACTICA 1
Esta práctica consiste en descargar e instalar la distribución Kali de Linux. Se trata de una distribución especializada en pruebas de seguridad informática. Puede instalar Kali Linux en una memoria USB de 16 Gb o en una máquina virtual. No es recomendable que lo instale como sistema operativo principal de su equipo de cómputo. Luego, instalar DVWA y verificar que funciona correctamente. Realice una exploración y reconocimiento tanto las herramientas de Kali Linux como DVWA. Producto entregable En el foro de la fase uno describa el proceso y muestre evidencias de haberlo llevado a cabo. 4.3.1. INSTALACION DE KALI LINUX 4.3.1.1.
En la Fig. 1, se evidencia la creación de la máquina virtual en Oracle Virtual Box 5.0.26, eligiendo el nombre, tipo y versión de SO. Figura 1. Creación de Maquina Virtual
4.3.1.2.
Fuente: autor En la Fig. 2, se procede a elegir el tamaño total de memoria con el cual va a funcionar la máquina, en este caso 512MB Figura 2. Tamaño de Memoria
Fuente: autor 4.3.1.3.
En la Fig. 3, se visualiza la creación del disco duro de 8GB, el cual va a ser instalado Kali Linux 2016.1 Figura 3. Creación de Disco Duro
Fuente: autor 4.3.1.4.
En la Fig. 4, se seleccionó el controlador para unidad óptica y se ordenó que iniciar de primero en el boot. Figura 4. Configuración de Unidad Óptica para booteo
Fuente: autor 4.3.1.5.
En la Fig. 5, se evidencia el boot del kali-linux-2016.1-amd64.iso y se seleccionó que se instale el entorno gráfico. Figura 5.
Fuente: autor 4.3.1.6.
En la Fig. 6, se procede a seleccionar el idioma ESPAÑOL como base del sistema operativo. Figura 6. Selección de Idioma
Fuente: autor 4.3.1.7.
En la Fig. 7, se procede a seleccionar el lugar de ubicación que en esta caso es Colombia para tener en cuenta la zona y los horarios.
Figura 7. Selección de Ubicación
Fuente: autor
4.3.1.8.
En la Fig. 8, se procede a seleccionar la configuración del teclado Latinoamericano. Figura 8. Selección de Teclado
Fuente: autor
4.3.1.9.
En la Fig. 9, Se visualiza el cargue de los componentes a instalar desde la unidad óptica virtual.
Figura 9. Cargue de componentes
Fuente: autor
4.3.1.10. En la Fig. 10, se establece el nombre del equipo el cual será reconocido en la red, en este caso le puse Kali-Linux-X64. Figura 10. Asignación de nombre de red
Fuente: autor 4.3.1.11. En la Fig. 11, se evidencia la asignación de password para el usuario root con perfil superadministrador.
Figura 11. Asignación de password
Fuente: autor 4.3.1.12. En la Fig. 5, a continuación se selecciona la partición del disco duro para definir el lugar de instalación del sistema operativo Kali Linux. Figura 12. Partición de Disco Duro
Fuente: autor
4.3.1.13. En la Fig. 13, Una vez seleccionado todos los parámetros, se procede a la instalación del sistema Kali Linux 2016.1, el cual toma su tiempo para montar toda la estructura, los programas y el entorno gráfico. Figura 13. Instalación del sistema
Fuente: autor 4.3.1.14. En la Fig. 14, Se presenta el booteo del Kali Linux instalado en Virtual Box. Figura 14. Inicio de Kali Linux
Fuente: autor
4.3.1.15. En la Fig. 15, se digita el password asignado en la instalación (adminroot) requerido para el inicio de sesión. Figura 15. Solicitud de Password
Fuente: autor
4.3.1.16. En la Fig. 16, finalmente se evidencia que el kali-linux-2016.1amd64.iso y se instaló correctamente e inicio la sesión en su entorno gráfico con las credenciales establecidas. Figura 16. Inicio de Sesión
Fuente: autor
4.3.2. INSTALACION DE DVWA (Damn Vulnerable Web Aplicaction) 4.3.2.1.
En la Fig. 17, se muestra que para empezar a debemos descargar el archivo dvwa-1.9.zip desde el sitio web www.dvwa.co.uk. Figura 17. Sitio Web DVWA
Fuente: www.dvwa.co.uk 4.3.2.2.
En la Fig. 18, se visualiza el procedimiento para mover con el explorador el archivo descargado, desde la carpeta Descargas al Escritorio.
Figura 18. Traslado de archivo .ZIP a Escritorio
Fuente: autor 4.3.2.3.
En la Fig. 19, Se procede a descomprimir el archivo DVWA-1.9.zip en el Escritorio desde el Terminal con el comando. root@Kali-Linux-X64: ~# cd Escritorio root@Kali-Linux-X64: ~/Escritorio# ls DVWA-1.9.zip root@Kali-Linux-X64: ~/Escritorio# unzip DVWA-1.9.zip Figura 19. Descomprensión de DVWA-1.9.zip
Fuente: autor
4.3.2.4.
En la Fig. 20, Se procede a mover la carpeta desde el Escritorio hasta la ruta /var/www/html y luego se cambia de nombre. Figura 20. Cambio de nombre carpeta base
Fuente: autor 4.3.2.5.
En la Fig. 21, Se procede asignar permisos a la carpeta contenedora del software DVWA con el siguiente comando: root@Kali-Linux-X64: ~# chmod -R 755 /var/www/dvwa Figura 21. Ejecución de permiso por comando
Fuente: autor
4.3.2.6.
En la Fig. 22, Se realiza una prueba de navegación en Localhost ó 127.0.0.1 y se evidencia que el servicio esta STOP. Figura 22. Prueba de Localhost
4.3.2.7.
Fuente: autor En la Fig. 23, Se procede ejecutar apache2 desde el terminal con el siguiente comando: root@Kali-Linux-X64: ~# service apache2 start Figura 23. Ejecución de Apache2
Fuente: autor
4.3.2.8.
En la Fig. 24, Se procede ingresar desde el explorador a Localhost con el fin de verificar que haya quedado inicio. Figura 24. Prueba de Apache2
Fuente: autor 4.3.2.9.
En la Fig. 25, Se procede ejecutar apache2 desde el terminal con el siguiente comando: root@Kali-Linux-X64: ~# service apache2 stop Figura 25. Detener Apache2
Fuente: autor
4.3.2.10. En la Fig. 26, Se procede ejecutar MYSQL desde el terminal con el siguiente comando: root@Kali-Linux-X64: ~# service mysql start Figura 26. Ejecución de mysql
Fuente: autor 4.3.2.11. En la Fig. 27, Se evidencia el acceso a la Interfaz de MySQL por línea de comando: root@Kali-Linux-X64: ~# mysql -h localhost -u root -p Enter password: adminroot Figura 27. Ingreso a la Interfaz de MySQL
Fuente: autor
4.3.2.12. En la Fig. 28, Se realiza ejecución de comando para poder ver las bases de datos existen creadas en el sistemas: mysql> show databases; Figura 28.
Fuente: autor 4.3.2.13. En la Fig. 29, Se procede a crear la base de datos (dvwa_jhonatanvega) por línea de comando: mysql> create database dvwa_jhonatanvega; Figura 29. Creación DataBase en mysql
Fuente: autor
4.3.2.14. En la Fig. 30, nuevamente se verifica que se haya creado exitosamente la DataBase en MySQL por línea de comando: mysql> show databases; Figura 30. Visualizar la DataBase creada
Fuente: autor 4.3.2.15. En la Fig. 31, se procede a iniciar nuevamente Apache2 por línea de comando: root@Kali-Linux-X64: ~# service apache2 start Figura 31. Inicio de Apache2 por comando
Fuente: autor
4.3.2.16. En la Fig. 32, Se procede a editar las rutas de acceso a la base de datos de mysql tales como: db_server, db_database, db_user, db_password. Figura 32. Modificación de archivo config.inc.php
Fuente: autor 4.3.2.17. En la Fig. 33, Se procede a dar ingreso a url http://localhost/dvwa/setup.php para iniciar la instalación del software DVWA-1.9. Pero se evidencia que no cargo porque no tenemos instalado PHP. Figura 33. Inicio instalación DVWA fallida
Fuente: autor
4.3.2.18. En la Fig. 34, Para iniciar la instalación de PHP5, se procede agregar al archivo sources.list ubicado en /etc/apt/ los repositorios de Kali-rolling y luego se ejecuta en terminal el comando apt-get update para poder actualizarlos. Figura 34. Agregar Repositorio Kali-rolling
Fuente: autor 4.3.2.19. En la Fig. 35, se visualiza que después de actualizados los repositorios, se procede a iniciar la instalación de PHP5-MySQLPear por línea de comando: root@Kali-Linux-X64: ~# apt-get install php5 php5-mysql php-pear
Figura 35. Instalación de PHP5-MySQL-Pear
Fuente: autor
4.3.2.20. En la Fig. 36, para evitar el error de tabla 'dvwa_jhonatanvega.users' no existe, se debe ejecutar línea de comando: root@Kali-Linux-X64: ~# curl --data 'create db=create+ %2F+Reset+Database' http://localhost/dvwa/setup.php# --cookie PHPSESSID=1
Figura 36. Solución error table en database
Fuente: autor
4.3.2.21. En la Fig. 37, se realiza el primer inicio en el software DVWA 1.9 atraves del navegador web en la url http://127.0.0.1/dvwa ó
http://localhost/dvwa y escribe los datos por defecto su nombre de usuario y contraseña: Username – admin Password – password Figura 37. Inicio de Sesión DVWA
Fuente: autor 4.3.2.22. En la Fig. 38, después del inicio de sesión, una vez adentro ingresamos a Setup / Reset DB presionamos la opción Create / Reset Database y ya se conecta el software con la base de datos creada. Y finalmente ya nos permite carga los demás opciones en el menú para empezar a utilizarlo. Figura 38. Login de DVWA
Fuente: autor
3. CONCLUSIONES Este trabajo ha descrito la naturaleza y características de la importancia de la seguridad informática como es el tema de hacking empresarial, se ha visto que las organizaciones no concientizan y capacitan adecuadamente a los empleados, no se enseña por qué crear e implementar una cultura de seguridad informática empresarial y cuál es el impacto que esta traerá a la organización. Asimismo, se
conocieron herramientas útiles para realizar pruebas de penetración y medir el grado de vulnerabilidad, con el fin de tomar medidas dentro de las organizaciones. La información recogida en este trabajo acerca de las diferentes técnicas de Hacking permite abordar el problema del acceso sin autorización tanto desde una perspectiva de prevención como desde un ámbito de detección con las correspondientes medidas. Con el conocimiento adquirido se dispone de cierta ventaja para afrontar muchos de los retos que surgen cada día en materia de seguridad informática. Se ha podido observar la gran cantidad de situaciones de amenaza en las que se encuentran inmersas las organizaciones, así como la necesidad de documentación y, más que eso, capacitación para todas las personas que forman parte de la organización, en busca de unos métodos y unas prácticas más eficientes. Este factor humano debe tomarse como el elemento clave, ya que de una adecuada sensibilización dependen los resultados a la hora de afrontar situaciones que ponen en riesgo la estructura organizacional.
4. BIBLIOGRAFÍA.
[1] Bases de datos y sus vulnerabilidades más comunes, disponible en http://www.acens.com/wp-content/images/2015/03/vulnerabilidades-bbddwp-acens.pdf
[2] Guía de administración del sistema: servicios de seguridad, disponible en https://docs.oracle.com/cd/E24842_01/pdf/E23286.pdf
[3] Herramientas de escaneo de vulnerabilidades para SP, BD y Red, disponible en: https://prezi.com/l9ogc4bwnoex/herramientas-de-escaneode-vulnerabilidades-para-so-bd-y-re/
[4] Explotando vulnerabilidades: buffer overflow y shellcode, disponible en: http://www.ellaberintodefalken.com/2013/07/vulnerabilidades-shellcodebuffer-overflow.html