-: เอาล่ะ หลังจากที่เราติดตั้ง Nexose สำเร็จแล้ว เรามาดูกันว่าเราจะเรียกใช้เครื่องมือนั้นได้อย่างไร
และดูว่าเครื่องมือนั้นคืออะไร
ฉันรู้ว่าเราพูดถึงเรื่องนี้กันมาก
และเราได้ดำเนินการตามขั้นตอนการติดตั้งแล้ว
แต่คุณยังไม่เห็นว่าเครื่องมือนี้ทำอะไร
นี่คือหน้าแรกของเครื่องมือ
และอย่างที่คุณเห็นตอนนี้ ทุกอย่างว่างเปล่า
ดังนั้น ก่อนที่ฉันจะเริ่มพูดถึงความหมายทั้งหมด
เรามาเพิ่มเป้าหมายกันก่อน จากนั้นเราจะทำการทดสอบและมาดูกัน
'เพราะสิ่งนี้จะเต็มไปหลังจากที่เราทำการทดสอบ
สิ่งแรกที่ฉันจะทำคือไปที่ Create
และไปที่ Site เพื่อเพิ่มเป้าหมาย
และผมจะเรียกเป้าหมายนี้ว่า "metaesploitable"
และผมจะไปที่สินทรัพย์ และเราจะเพิ่มเป้าหมายเข้าไป
ดังนั้นเป้าหมายสามารถจัดเรียงได้เช่นเดียวกับที่เราเพิ่มเข้าไปเมื่อเราทำส่วนการเจาะเครือข่ายของสิ่งต่าง
ๆ ด้วย Zenmap
ดังนั้นคุณสามารถเพิ่มช่วงหรือเพิ่ม IP เฉพาะได้
ดังนั้นในเรื่องนี้ เรากำลังกำหนดเป้าหมายไปยังเครื่อง
Metasploitable
เราจะเพิ่มเป้าหมายของเรา
ซึ่งก็คือ 10, 20, 14, 2, 0, 4
ยืนยันได้ที่นี่ นี่คือเครื่อง Metasploitable
ของเรา 10, 20, 14, 2, 0, 4
และเราจะเพิ่มสิ่งนี้ในกลุ่มและเราเรียกว่า
" metasploitable" เช่นกัน
และเราเรียกสิ่งนี้ว่า "การทดสอบ"
นี่คือชื่อกลุ่มของเรา
ในส่วนการรับรองความถูกต้อง หากเป้าหมายใช้การพิสูจน์ตัวตนแบบใดแบบหนึ่ง
ดังนั้นจึงไม่มีใครสามารถเข้าถึงเป้าหมายได้ เว้นแต่จะต้องพิสูจน์ตัวตนด้วยบริการบางประเภท
ตัวอย่างเช่น หากเป็นบริการ FTP หรือการรับรองความถูกต้องของเว็บ
http, TELNET หรือเซิร์ฟเวอร์ SQL
คุณสามารถเลือกได้จากที่นี่
ใส่โดเมน ชื่อผู้ใช้ รหัสผ่าน ยืนยันรหัสผ่านของคุณ
และด้วยวิธีนี้เฟรมเวิร์กจะสามารถตรวจสอบกับบริการนั้นและทดสอบความปลอดภัยของเซิร์ฟเวอร์ของคุณได้
ในตอนนี้ เซิร์ฟเวอร์ของเราไม่ได้ใช้การพิสูจน์ตัวตนใดๆ ดังนั้นเราจึงไม่ต้องการสิ่งนี้
นอกจากนี้ หากคุณกำหนดเป้าหมายเว็บแอปพลิเคชันและเว็บแอปพลิเคชันมีหน้าเข้าสู่ระบบ
เช่น สำหรับผู้ใช้ เช่น Facebook
สมมติว่าคุณกำลังกำหนดเป้าหมาย Facebook
จากนั้นคุณจะไม่สามารถเข้าถึงคุณลักษณะส่วนใหญ่ของ Facebook
ได้ เว้นแต่คุณจะเข้าสู่ระบบด้วยชื่อผู้ใช้และรหัสผ่านบางอย่าง
อีกครั้งโดยใช้คุณสมบัตินี้ที่นี่
คุณสามารถเข้าสู่ระบบแล้วทดสอบความปลอดภัยของเป้าหมายได้
และเทมเพลตคือที่ที่คุณเลือกประเภทการสแกน
ดังนั้นจึงคล้ายกับประเภทการสแกนของ Zenmap มาก
เราเคยเห็นใน Zenmap เรามีการสแกนอย่างรวดเร็ว การสแกนที่รวดเร็ว
และการสแกนที่เข้มข้น นี่ก็เหมือนกัน
ดังนั้นแต่ละโปรไฟล์จึงแตกต่างกัน
มันสแกนสิ่งต่าง ๆ
ตัวอย่างเช่น เรามีการตรวจสอบแบบเต็มที่นี่
ซึ่งใช้เวลานาน แต่ค่อนข้างตรวจสอบทุกอย่าง
จากนั้นคุณจะมีการบันทึกที่ปรับปรุงการตรวจสอบอย่างเต็มรูปแบบโดยไม่ต้องใช้
Web Spider
ดังนั้น Web Spider จึงเป็นเครื่องมือหรือสคริปต์ที่ค้นหาไฟล์และไดเรกทอรีทั้งหมดในเป้าหมายของคุณ
และค่าเริ่มต้นคือการตรวจสอบแบบเต็มโดยไม่มี Web Spider
นั่นคือสิ่งที่เราจะทำ
และคุณมีโปรไฟล์เฉพาะเครือข่ายด้วย
คุณมีการตรวจสอบเว็บเช่นกัน
ดังนั้นฉันจึงแนะนำให้คุณลองใช้ทั้งหมดหรือเกือบทั้งหมดและทำความคุ้นเคยกับพวกเขา
ตอนนี้เราจะลองอันนี้เท่านั้นเพราะใช้พวกมันเหมือนกัน
ซึ่งจะสแกนหาพอร์ต ICMP, TCP และ UDP
ฉันก็เลยปล่อยไว้อย่างนั้นเหมือนกัน
ฉันจะปล่อยเครื่องยนต์ไว้เหมือนเดิม
ซึ่งหมายความว่าจะใช้เอ็นจิ้นในพื้นที่ของเรา
ซึ่งเราติดตั้งแทนที่จะใช้อันที่
Rapid7 ให้มา
และการแจ้งเตือน คุณสามารถตั้งค่าการแจ้งเตือนที่กำหนดเองได้
นั่นคือเมื่อพบช่องโหว่ คุณจะได้รับการแจ้งเตือน
และกำหนดการเป็นคุณลักษณะที่ยอดเยี่ยมจริงๆ
ตอนนี้ สมมติว่าคุณทำงานให้กับบริษัทหรือองค์กรที่คอยผลักดันรหัส
รหัสใหม่ทุกวัน
หรือตัวอย่างเช่น บางทีรหัสของคุณ
คุณทำการทดสอบวันนี้ และทุกสิ่งที่คุณกำลังทำอยู่นั้นดี
เว็บเซิร์ฟเวอร์ โปรแกรมของคุณ แอปพลิเคชันของคุณ
ทุกอย่างเป็นปัจจุบันและไม่มีช่องโหว่ในนั้น
สมมติว่าพรุ่งนี้คุณกดรหัสที่มีช่องโหว่ใหม่ หรือพรุ่งนี้อาจมีคนค้นพบช่องโหว่ใหม่ด้วยโปรแกรมที่คุณกำลังใช้บนเว็บเซิร์ฟเวอร์ของคุณ
ดังนั้นคุณจึงไม่ปลอดภัยอีกต่อไป
ดังนั้นคุณลักษณะนี้จึงช่วยให้คุณสามารถกำหนดเวลาการทดสอบนี้เพื่อให้ทำงานทุกสัปดาห์หรือทุกชั่วโมงหรือทุกเดือน
ขึ้นอยู่กับว่าการทดสอบมีความสำคัญเพียงใด
สิ่งที่คุณต้องทำคือเข้าไปสร้างกำหนดการและสร้างกำหนดการ เพื่อให้คุณสามารถใส่วันที่เริ่มต้นและวันที่สิ้นสุด
และตั้งค่าความถี่จากที่นี่ สำหรับทุกวัน ทุกวันพฤหัสบดี ทุกวันที่ 26
หรือ ขึ้นอยู่กับสิ่งที่คุณต้องการจริงๆ
คุณสร้างกำหนดการ จากนั้นทุกช่วงที่คุณระบุ
การสแกนจะทำงาน
และแม้กระทั่งคุณสามารถนำไปจัดทำรายงานให้คุณได้
เพื่อให้คุณสามารถดูรายงานและดูว่ามีอะไรเปลี่ยนแปลงหรือมีอะไรค้นพบบ้าง
ตอนนี้ทุกอย่างดีแล้ว
ส่วนที่สำคัญที่สุดของวันนี้ หรือสิ่งที่เราทำที่นี่คือคุณวางเป้าหมายของคุณไว้ที่นี่
และสิ่งต่อไปคือคุณเลือกเทมเพลต
เราได้เลือกทั้งสองรายการแล้ว
และเราจะบันทึกและสแกน ซึ่งจะบันทึกการกำหนดค่านี้
และเริ่มการสแกนให้เรา
อย่างที่คุณเห็น การค้นพบทรัพย์สินของเราอยู่ในระหว่างดำเนินการ
ฉันจะหยุดวิดีโอชั่วคราว
และหลังจากนั้นเราจะพูดถึงผลลัพธ์ที่เราได้รับ