HULK, una herramienta para atacar servidores web

En la mayoría de los casos, las herramientas para realizar atauqes DoS comparten un problema... 

crean patrones repetibles, demasiado fáciles de predecir y, por lo tanto, que permiten mitigar sus efectos. 

HULK (Http Unbearable Load King) es una sencilla herramienta DoS escrita en Python cuyo principal
objetivo es generar peticiones únicas para evitar/evadir motores de caché e incidir directamente
en la carga del servidor. Las principales técnicas que utiliza son las siguientes:

- Ofuscación del origen: cada petición del cliente se envía con un agente de usuario distinto
seleccionado aleatoriamente de una lista.

- Falsificación de referencias: el referer que incluye la petición está ofuscado y apunta hacia
el mismo servidor objetivo u otros sitios web conocidos.

- Adhesión: utiliza comandos estándar HTTP para tratar de hacer que el servidor mantenga las
conexiones abiertas mediante el uso de Keep-Alive con una ventana de tiempo variable.

- no-cache: se solicita al servidor HTTP no-cache para obtener una página única.

- Transformación de URL única: para evitar la caché y otras herramientas de optimización,
se utilizan nombres de parámetros y valores aleatoriamente en cada petición, lo que hace
que cada petición sea única y que el servidor tenga que procesarla en cada caso.

Resultados

El autor Barry Shteiman comenta que ha realizado pruebas contra un servidor web con 4GB de RAM

y Microsoft IIS7 y fue capaz de tirarlo en menos de un minuto, lanzando todas las peticiones

desde un único host.

En las siguientes imágenes se puede ver la herramienta en acción donde, en la primera (#1), se ejecuta contra una URL y a continuación comienza a generar una carga de solicitudes únicas y las envía hacia el servidor objetivo (host de la URL) y, en segundo lugar (#2), podemos ver que el servidor en algún momento empieza a dejar de responder ya que ha agotado su fondo de recursos.

nota: el parámetro opcional "safe" significa matar el proceso cuando los hilos consigan un error 500.

Descarga

Fichero : hulk.py( fichero zip)

Esta herramienta está pensada para propósitos educativos solamente y no debe ser utilizada para ninguna actividad maliciosa.

Fuente: HULK, Web Server DoS Tool | SECTORIX | UNDERC0DE | HACKPLAYERS

Pentest Box: herramienta de pentesting para sistemas Windows

Pentest Box, es una herramienta que permite la realización de pentesting desde entornos  Windows. No necesita instalador y  ejecuta diversos tipos de programas a través de la línea de comandos de la propia tools, aunque se lanza desde el CMD de Windows. De esta manera, se elude la necesidad del uso de máquinas virtuales.

Algunas de sus características a destacar:

-Funciona directamente en Windows de forma nativa, no en máquina virtual por lo que ganaremos en rendimiento. 

-No se necesita ninguna dependencia de programa adicional, todo está incorporado en Pentest Box. 

-Incorpora las principales utilidades de Linux Bash como cp, mv, ssh etc. 

-Esta distribución sólo ocupa 2GB de espacio en disco y unos 20MB de memoria RAM cuando estamos ejecutando alguna herramienta. 

-Portable: no necesita instalación, podremos llevarla siempre con nosotros en una memoria USB.

Algunos de los programas más  conocidos incorporados en la herramienta:

Categorías:

-Escáners de Vulnerabilidades Web

-Proxies Aplicaciones Web

-Rastreadores Web

-Recopilación De Información

-Herramientas de Explotación

-Fuerza bruta a las contraseñas

-Seguridad en Android

-Ingeniería Inversa

-Herramientas de Stress

-Sniffers

-Herramientas Análisis Forense

-Ataques y Auditorias Wireless

-Editores de Texto

Burp Suite: es una plataforma completa que permite realizar test de seguridad a las aplicaciones web de forma automática. Esta herramienta encontrará las vulnerabilidades de seguridad y las explotará para posteriormente sacar un informe sobre el análisis.

WPScan: es una herramienta de escáner de vulnerabilidades en las instalaciones de WordPress, encontrará si hay algún fallo de seguridad y posteriormente nos indicará cuál.

ZAProxy: Es una herramienta de penetración para encontrar vulnerabilidades en aplicaciones web. Está desarrollada por expertos en seguridad y es ideal tanto para desarrolladores como para administradores de sistemas.

Nmap: la popular herramienta Nmap también está disponible en esta distribución, Nmap permite descubrir los hosts en la red y averiguar si hay algún puerto abierto así como las versiones de programas que está usando dicho host. Es una de las herramientas fundamentales para cualquier administrador de redes.

SSLstrip: permite crear un proxy HTTP-HTTPS para que al realizar un ataque Man In The Middle, todo el tráfico cifrado se convierta a HTTP e interceptar todas las comunicaciones.

SSLyze: Es una herramienta Python que analiza la configuración SSL/TLS de nuestro servidor web y nos muestra los resultados del análisis y qué mejoras podríamos hacer.

Wireshark: Pentest Box también incluye WireShark, el conocido analizador de paquetes.

John The Ripper: Una de las herramientas más conocidas para crackear contraseñas.

Aircrack-ng: El popular software para crackear contraseñas inalámbricas de manera fácil y rápida.

SqlMap: SQLmap es una de las herramienta más conocidas para hacer ataques SQLi (SQL Injection) escrita en Python. SQLmap se encarga de realizar peticiones a los parámetros de una URL que se le indiquen, ya sea mediante una petición GET, POST, en las cookies, etc. Es capaz de explotar todo tipo de SQLi como union-base, time-base-blind, base-blind-injection, heavy-queries, etc.

Nikto: de código abierto (GPL), es un escáner servidor web que realiza pruebas exhaustivas contra servidores web para varios artículos, incluyendo más de 6.700 archivos potencialmente peligrosos / programas, controles de versiones no actualizadas de más de 1.250 servidores, y los problemas específicos de la versión sobre más de 270 servidores.

Fimap: es una pequeña herramienta escrita en python que puede encontrar , preparar, auditar, explotar automáticamente  errores de inclusión de archivos locales y remotos en aplicaciones web. Fimap debería ser algo como sqlmap pero para errores LFI / RFI en lugar de inyecciones SQL. Está actualmente bajo desarrollo pero es totalmente funcional.

ApkTool: Una herramienta para la ingeniería inversa de terceros, para aplicaciones Android Puede decodificar recursos a la forma casi original y reconstruirlas después de hacer algunas modificaciones; hace posible depurar código paso a paso. También hace que trabajar con una aplicación más fácil debido a la estructura de archivos como en proyectos y la automatización de algunas tareas repetitivas como la construcción de apk, etc.

OLLY Debugger: es un depurador a nivel de aplicación. La interfaz OllyDbg muestra el código ensamblador, volcado hexadecimal, la pila y registros de la CPU. OllyDbg también soporta rastreo, puntos de interrupción condicionales, visión de cabecera PE, edición hexadecimal.

Radare2:  Radare nació como una herramienta editor hexadecimal, debugger, assembler/disassembler, bajo la línea de comandos. Radare2 fue re-escrito de nuevo y poco a poco ha ido alcanzando el nivel del radare original.

Volatility: es un Framework con un conjunto de herramientas desarrolladas enteramente en Python con licencia GNU. Este Framework está pensado para extraer de una imagen de un disco los datos volátiles que estaban en memoria RAM. Estas técnicas de extracción están pensadas para que no dependan del sistema operativo del investigador, es decir podemos utilizar Windows y/o Linux.

Fuente: La información para elaborar el post se obtuvo de diversas Webs entre ellas, se uso la fuente: http://blog.elhacker.net/2015/06/pentest-box-pentesting-en-linea-de-comandos-para-windows.html