Tactical Exploitation or ”the Other Way to Pen-Test” or ”random Pwning Fun Bag”

Tactical Exploitation

OR

”The Other Way to Pen-Test”

OR

”Random Pwning Fun Bag”

Version 1.0.0

H D Moore (hdm[at]metasploit.com)

Valsmith (valsmith[at]metasploit.com)

Last modified: 08/09/2007

Contents

1 Introduction 3

1.1 Abstract . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3

1.2 Background . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3

1.3 Author Bio - HD Moore . . . . . . . . . . . . . . . . . . . . . . . 4

1.4 Author Bio - Valsmith . . . . . . . . . . . . . . . . . . . . . . . . 4

1.5 Acknowledgements . . . . . . . . . . . . . . . . . . . . . . . . . . 4

2 The Tactical Approach 5

2.1 Vulnerabilties . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5

2.2 Competition . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5

3 Information Discovery 6

3.1 Personnel Discovery . . . . . . . . . . . . . . . . . . . . . . . . . 6

3.1.1 Search Engines . . . . . . . . . . . . . . . . . . . . . . . . 6

3.1.2 Paterva’s Evolution . . . . . . . . . . . . . . . . . . . . . 7

3.2 Network Discovery . . . . . . . . . . . . . . . . . . . . . . . . . . 8

3.2.1 Discovery Services . . . . . . . . . . . . . . . . . . . . . . 8

3.2.2 Bounce Messages . . . . . . . . . . . . . . . . . . . . . . . 9

3.2.3 Virtual Hosting . . . . . . . . . . . . . . . . . . . . . . . . 10

3.2.4 Outbound DNS . . . . . . . . . . . . . . . . . . . . . . . . 10

3.2.5 Direct Contact . . . . . . . . . . . . . . . . . . . . . . . . 11

3.3 Firewalls and IPS . . . . . . . . . . . . . . . . . . . . . . . . . . . 11

3.3.1 Firewall Identification . . . . . . . . . . . . . . . . . . . . 12

3.3.2 IPS Identification . . . . . . . . . . . . . . . . . . . . . . . 12

3.4 Application Discovery . . . . . . . . . . . . . . . . . . . . . . . . 12

3.4.1 Slow and Steady wins the Deface . . . . . . . . . . . . . . 12

3.4.2 Finding Web Apps with W3AF . . . . . . . . . . . . . . . 13

3.4.3 Metasploit 3 Discovery Modules . . . . . . . . . . . . . . 13

3.5 Client Application Discovery . . . . . . . . . . . . . . . . . . . . 14

3.5.1 Browser Fingerprinting . . . . . . . . . . . . . . . . . . . 14

3.5.2 Mail Client Fingerprinting . . . . . . . . . . . . . . . . . . 15

3.5.3 SMB Client Fingerprinting . . . . . . . . . . . . . . . . . 15

3.6 Process Discovery . . . . . . . . . . . . . . . . . . . . . . . . . . . 16

3.6.1 Traffic Monitoring with IP IDs . . . . . . . . . . . . . . . 16

1

3.6.2 Web Site Monitoring with HTTP . . . . . . . . . . . . . . 17

3.6.3 Usage Monitoring with MS FTP . . . . . . . . . . . . . . 17

4 Information Exploitation 19

4.1 Introduction . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 19

4.2 External Networks . . . . . . . . . . . . . . . . . . . . . . . . . . 19

4.2.1 Attacking File Transfers . . . . . . . . . . . . . . . . . . . 19

4.2.2 Attacking Mail Services . . . . . . . . . . . . . . . . . . . 21

4.2.3 Attacking Web Servers . . . . . . . . . . . . . . . . . . . . 21

4.2.4 Attacking DNS Servers . . . . . . . . . . . . . . . . . . . 21

4.2.5 Attacking Database Servers