Instruktor: W tym wykładzie
porozmawiamy o naprawdę fajnym narzędziu o nazwie Nexpose.
Jest to bardziej narzędzie dla przedsiębiorstw
przeznaczone do użytku w dużych firmach i organizacjach.
Jest to w zasadzie struktura zarządzania
podatnościami stworzona przez Rapid7. Czyli ci sami ludzie, którzy stworzyli Metasploit.
Pochodzi z naprawdę ładnym graficznym interfejsem użytkownika.
Przez strukturę zarządzania podatnością rozumiem to, że
jest ona zaprojektowana tak, aby obejmowała cały
cykl życia zarządzania podatnościami.
Dzięki temu może skanować w
poszukiwaniu otwartych portów, wykrywać działające
usługi, znajdować luki w zabezpieczeniach usług, znajdować exploity, niezależnie od
tego, czy można je
wykorzystać w Metasploit, czy też istnieje inny
sposób ich wykorzystania, udostępniać
zasoby, aby to zrobić, weryfikować że te exploity istnieją, a nawet generują
raporty opisujące szczegółowo wszystko, co odkryją.
W rzeczywistości generuje dwa zestawy raportów, jeden
techniczny dla osób technicznych i raport
wysokiego poziomu, który
można udostępniać osobom mniej technicznym,
takim jak administratorzy i menedżerowie.
Możesz również użyć go do zautomatyzowania
tych skanowań, dzięki czemu
możesz uruchamiać określone skany, które sam konfigurujesz co określony czas.
Jak widać, naprawdę fajny framework
z wieloma naprawdę przydatnymi funkcjami, ale
większość z nich przyda się
tylko dużym przedsiębiorstwom i firmom,
zwłaszcza biorąc pod
uwagę cenę i zasoby, których wymaga ten program.
Jest więc bardzo zasobożerny, potrzebuje
co najmniej ośmiu gigabajtów pamięci i dużo miejsca
do przechowywania.
Ale nie martw
się o to, ponieważ użyjemy tego tylko w jednym wykładzie,
w następnym, tylko po to, aby
pokazać, czego możesz się spodziewać w środowisku korporacyjnym,
w którym będziesz korzystać z takich narzędzi.
I dlatego właściwie nie
musisz się
martwić o zasoby, bo jeśli kiedykolwiek musiałeś korzystać z
tego typu oprogramowania, firma, z
którą pracujesz, zapewni je i zapewni niezbędną infrastrukturę.
Więc jeśli możesz dać Kali osiem gigabajtów
pamięci, zrób to i
przetestuj, co pokażę w następnym wykładzie.
Jeśli nie, to w porządku, po
prostu obejrzyj wykład, a
dowiesz się, jak obsługiwać tego rodzaju narzędzia.
Przede wszystkim musisz pobrać Nexpose.
Nie jest zainstalowany w Kali.
Link do niego znajduje się w zasobach tego wykładu.
Upewnij się, że korzystasz z firmowego adresu e-mail.
Jeśli go nie masz, użyj linku w zasobach,
aby otrzymać wiadomość e-mail, która wygląda jak
firmowy adres e-mail, ponieważ wyślą Ci kod weryfikacyjny na ten adres.
Po pobraniu...
Mam to już w moich plikach do pobrania.
Przejdę do mojego katalogu pobierania z
mojego terminala.
Więc zrobimy cd, Downloads, zrobimy ls i możemy
go znaleźć tutaj. To jest skrypt instalacyjny.
Teraz, zanim to uruchomimy, jest to plik wykonywalny binarny,
będziemy musieli zmienić jego uprawnienia na niewykonywalne.
Aby to zrobić, zrobimy chmod, +x, po którym
nastąpi nazwa pliku.
Teraz, jeśli ls, zobaczysz, że będzie on oznaczony na
zielono, co oznacza, że jest niewykonalny
i dlatego będziemy
mogli go uruchomić, wykonując . / po którym następuje nazwa pliku.
Naciśniemy Enter, a to pokaże nam naprawdę
łatwego w użyciu kreatora instalacji.
Więc klikniemy Dalej.
Zachowamy to przy pierwszej
opcji, aby zainstalować konsolę i silnik skanowania.
Tutaj możesz zmodyfikować katalog instalacyjny, ale
zachowamy go domyślnie.
Uderzymy Dalej.
Teraz otrzymało ostrzeżenie, jak
widać, mówiąc, że zalecane jest 80 gigabajtów pamięci.
To nie jest konieczne.
To po prostu oznacza, że możesz wykorzystać dużo miejsca,
jeśli będziesz nadal korzystać z programu.
Ale dla celów testowych to, co mam w tej chwili,
56, jest więcej niż wystarczające, więc będziemy kontynuować.
A to tylko lista kontrolna,
aby upewnić się, że spełniasz minimalne wymagania.
Najważniejsza to ilość pamięci, którą przypisałem Kali.
Jak widać ma 10 gigabajtów pamięci, bo
tak jak mówiłem minimum to osiem.
Kliknij Dalej.
I po prostu wypełnimy to moimi informacjami.
Więc wstawimy moje imię, nazwisko, nazwę
firmy.
Ustawimy nazwę użytkownika, ustawimy ją na
Zaid, wstawimy
hasło i klikniemy Dalej.
Teraz to tylko podsumowanie
wszystkiego, co do tej pory ustaliliśmy.
Najważniejszą rzeczą, którą chcesz się upewnić,
jest odznaczenie tego pola. Więc to już nie jest zaznaczone.
Jeśli to zaznaczysz, program uruchomi się automatycznie
po zakończeniu instalacji.
Ale tak jak powiedziałem, to naprawdę ogromny
framework i wolę uruchamiać go ręcznie, a
później pokażę, jak to zrobić.
Dlatego chcemy się upewnić, że nie zaznaczamy tego pola.
Klikniemy Dalej
i zaczniemy instalować dla nas ten framework.
Zatrzymam więc wideo i wznowię po zainstalowaniu.
Idealnie, teraz instalacja jest zakończona.
Jedyną rzeczą, którą chcę teraz zmodyfikować,
jest, jak
widać tutaj, stwierdzenie, że konsola
jest skonfigurowana do automatycznego uruchamiania podczas uruchamiania.
Nie chcę, żeby tak się stało, bo tak jak
powiedziałem, użyjemy tego tylko w jednym wykładzie.
Dlatego nie ma sensu, aby to oprogramowanie uruchamiało się za
każdym razem, gdy uruchamiamy nasz Kali Linux.
Więc kliknę Zakończ.
Teraz zamierzam wyłączyć automatyczne uruchamianie
tego programu Nextpose.
Aby to zrobić, zrobimy systemctl, wyłączony.
Podążymy za tym nazwą usługi,
którą chcemy wyłączyć.
I jak wspomniano w poprzedniej
wiadomości, którą otrzymaliśmy
od instalatora, nazwa usługi to nexposeconsole. usługa.
Naciśniemy Enter, a jak widać, mówi, że usunął
go z automatycznego startu.
Więc teraz, jeśli zrestartujemy naszą Kali i
zrestartujemy ją, konsola Nexpose nie uruchomi się automatycznie, a
dokładnie tego chcemy.
Więc teraz, gdy zainstalowaliśmy
Nexpose, zobaczmy, jak to uruchomimy.
Więc wyczyszczę ekran.
A rozpoczęcie tego jest bardzo, bardzo proste.
Najpierw przejdziemy
do lokalizacji, w której zainstalowaliśmy Nexpose.
Jak widzieliśmy podczas
kreatora instalacji, jest on instalowany w opt/rapid7/nexpose/.
Teraz wypiszemy katalog, który znajduje się tutaj,
a skrypt startowy jest przechowywany w tym katalogu.
Więc my też do niego przejdziemy.
Więc zrobimy cd, nsc.
A jeśli wypiszemy tutaj wszystkie pliki i katalogi, zauważysz, że
mamy plik o nazwie nsc. CII.
To jest skrypt startowy Nexpose.
Więc zmaksymalizuję swój terminal i
zrobimy to . / po którym następuje
nazwa skryptu, który chcemy uruchomić, czyli nsc. sh, i wciśniemy
Enter.
Teraz, jeśli przeczytałeś kreatora, powiedział,
że uruchomienie Nexpose może zająć do 30 minut.
A w moim przypadku, czasami na innych starszych
komputerach, inicjalizacja tego
frameworka zajęła nawet 40 minut.
Więc chcesz być później bardzo cierpliwy i chcesz się upewnić, że
masz 10 gigabajtów pamięci, jak powiedziałem,
i będziesz wiedział, kiedy to się skończy, ponieważ otrzymasz
adres URL, którego możesz
użyć, aby uzyskać do niego dostęp .
Więc zamierzam go wstrzymać i wznowimy,
gdy zostanie w pełni zainicjowany.
Idealne teraz, ponieważ nie widzimy żadnych
błędów i ponieważ widzimy ten komunikat informujący nas,
że możemy uzyskać dostęp do Nexpose za pośrednictwem tego adresu URL.
Oznacza to, że wszystko zaczęło się pomyślnie.
Możemy więc po prostu kontrolować i kliknąć, aby
otworzyć go w naszej przeglądarce.
Jak widać, otrzymasz ostrzeżenie,
ponieważ ładujesz to przez HTTPS,
a Nexpose używa certyfikatu z podpisem własnym.
Wszystko, co musisz zrobić, to kliknąć Zaawansowane i
zaakceptować ryzyko, ponieważ
działa na naszym własnym serwerze.
Więc wiemy, że to jest w porządku.
Jak widać, teraz otrzymujemy ekran logowania.
Więc zamierzam zalogować się przy użyciu
tych samych informacji, których użyłem podczas instalowania Nexpose.
Więc moja nazwa użytkownika to
Zaid, a hasło to to, na co je ustawiłem, wcisnę Enter
i idealnie, jak widać, mamy konsolę.
Teraz pierwszą rzeczą, o
którą mnie prosi, jest klucz aktywacyjny.
Powinieneś już otrzymać go na swój e-mail w skrzynce odbiorczej.
Już go
mam i mam już skopiowany w
moim schowku, więc po prostu wkleję go tutaj i kliknę Aktywuj klucz.
Daj mu trochę czasu na aktywację klucza.
Znowu może to zająć kilka minut.
Teraz idealnie, jak
widać, mówi: „Aktywacja powiodła się. " Więc
klikniemy OK i to wszystko.
Teraz framework jest gotowy do użycia, a
w następnym wykładzie pokażę ci, jak go
dokładnie używać.
Ale tak jak powiedziałem, byłby to
jedyny wykład, w którym będziemy używać tego frameworka.
Pokazuję ci tylko teraz, jak z niego
korzystać, tylko po to, aby dać ci wyobrażenie o tego typu oprogramowaniu.
Ale jeśli nie możesz zainstalować go na
swoim komputerze, jest
to całkowicie w porządku, ponieważ nie będziemy na
nim polegać w dalszej części kursu.