Пассивная подготовка к испытанию на проникновение к Интернет-ресурсу
Исследование метода оценки безопасности компьютерных систем или сетей средствами моделирования атаки злоумышленника. Анализ поддоменов заданного Интернет-ресурса. Способы получения хостинг-компании. Основные методики избавления от сетевой разведки.
| Рубрика | Программирование, компьютеры и кибернетика |
| Вид | контрольная работа |
| Язык | русский |
| Дата добавления | 18.09.2016 |
| Размер файла | 782,8 K |
Отправить свою хорошую работу в базу знаний просто. Используйте форму, расположенную ниже
Студенты, аспиранты, молодые ученые, использующие базу знаний в своей учебе и работе, будут вам очень благодарны.
Размещено на http://www.allbest.ru/
МИНИСТЕРСТВО ОБРАЗОВАНИЯ И НАУКИ РФ
ФЕДЕРАЛЬНОЕ ГОСУДАРСТВЕННОЕ БЮДЖЕТНОЕ ОБРАЗОВАТЕЛЬНОЕ УЧРЕЖДЕНИЕ ВЫСШЕГО ПРОФЕССИОНАЛЬНОГО ОБРАЗОВАНИЯ
«ПОВОЛЖСКИЙ ГОСУДАРСТВЕННЫЙ ТЕХНОЛОГИЧЕСКИЙ УНИВЕРСИТЕТ»
ФАКУЛЬТЕТ ИНФОРМАТИКИ И ВЫЧИСЛИТЕЛЬНОЙ ТЕХНИКИ
Пассивная подготовка к испытанию на проникновение
Выполнила
Скворцова А.С.
Проверил
Сучков Д.С.
г. Йошкар-Ола 2016
СОДЕРЖАНИЕ
ВВЕДЕНИЕ
1. WHOIS АНАЛИЗ
2. ПОДДОМЕНЫ ЗАДАННОГО ИНТЕРНЕТ-РЕСУРСА
3. АНАЛИЗ SSL СЕРТИФИКАТА
4. ИСПОЛЬЗУЕМОЕ ПО, ЯЗЫКИ ПРОГРАММИРОВАНИЯ, СЛУЖБЫ
5. ИНФОРМАЦИЯ О ХОСТИНГЕ
6. АНАЛИЗ ПОЧТОВОЙ СЛУЖБЫ
ЗАКЛЮЧЕНИЕ
ВВЕДЕНИЕ
Тестирование на проникновение (Пентест) -- метод оценки безопасности компьютерных систем или сетей средствами моделирования атаки злоумышленника. Процесс включает в себя активный анализ системы на наличие потенциальных уязвимостей, которые могут спровоцировать некорректную работу целевой системы, либо полный отказ в обслуживании. Анализ ведется с позиции потенциального атакующего и может включать в себя активное использование уязвимостей системы. Результатом работы является отчет, содержащий в себе все найденные уязвимости системы безопасности, а также может содержать рекомендации по их устранению. Цель испытаний на проникновение -- оценить его возможность осуществления и спрогнозировать экономические потери в результате успешного осуществления атаки. Испытание на проникновение является частью аудита безопасности.
Для выполнения данной расчетно-графической работы будет рассмотрен - это научная электронная библиотека, построенная на парадигме открытой науки (Open Science), основными задачами которой является популяризация науки и научной деятельности, общественный контроль качества научных публикаций, развитие междисциплинарных исследований, современного института научной рецензии и повышение цитируемости российской науки. компьютерный сеть интернет хостинг
1. WHOIS АНАЛИЗ
WHOIS - сетевой протокол прикладного уровня, базирующийся на протоколе TCP. Основное применение -- получение регистрационных данных о владельцах доменных имён, IP-адресов и автономных систем.
Рисунок 2. Информация по домену
Проанализируем ip адрес доменного имени на сайте 1whois.ru. Информация по IP адресу 136.243.134.166:
Рисунок 3. Информация по IP-адресу.
Получаем полные контактные данные:
Рисунок 4. Контактные данные.
2. ПОДДОМЕНЫ ЗАДАННОГО ИНТЕРНЕТ-РЕСУРСА
Поддомен - домен, являющийся частью домена более высокого уровня. Например, «mail.example.com» и «calendar.example.com» являются поддоменами «example.com», который в свою очередь является поддоменом домена верхнего уровня .com.
Самым простым способом получения открытых поддоменов сайта является анализ ссылок в поисковых системах. Используя поисковую систему google.ru не было выявлено ни одного поддомена:
Кроме того, не удалось получить дополнительные адреса поддоменов при анализе HTML кода страниц cyberleninka
3. АНАЛИЗ SSL СЕРТИФИКАТА
Частое использование протокола SSL привело к формированию протокола HTTPS (Hypertext Transfer Protocol Secure), поддерживающего шифрование. Данные, которые передаются по протоколу HTTPS, «упаковываются» в криптографический протокол SSL или TLS, тем самым обеспечивая защиту этих данных. Такой способ защиты широко используется в мире Веб для приложений, в которых важна безопасность соединения, например, в платёжных системах. В отличие от HTTP, для HTTPS по умолчанию используется TCP-порт 443.
Рисунок 8. Сведения о сертификате.
Так же можно просмотреть полный путь сертификации, названия удостоверяющих центров:
Воспользуемся онлайн-сервисами проверки ssl-соединений на уязвимости.
Возобновление сессии(кэширование) - отсутствует.
Forward Secrecy - слабый обмен ключами.
Уязвимость Heartbleed - отсутствует.
Уязвимость CVE-2014-0224 - отсутствует.
Рисунок 10. Анализ SSL сертификата.
Рисунок 11. Анализ SSL сертификата.
4. ИСПОЛЬЗУЕМОЕ ПО, ЯЗЫКИ ПРОГРАММИРОВАНИЯ, СЛУЖБЫ
Исходя из данных первого пункта выяснили, что используется web сервер «Nginx». Данный сервер работает на Unix-подобных операционных системах.
Никакая из наиболее используемых систем управления сайтами (CMS) не была использована:
Рисунок 12. Определение CMS.
Снова используя поисковый сервис google.ru проанализируем сайт на наличие файлов с расширением .php. В результате нет доказательств использования языка программирования PHP:
Также не было найдено доказательств использования языка SQL. Проведя анализ исходного кода сайта:
Если исходный код начинается с "<!DOCTYPE HTML...", значит сайт составлен на языке разметки HTML.
5. ИНФОРМАЦИЯ О ХОСТИНГЕ
Рассмотрим несколько способов получения хостинг-компании данного ресурса.
Рисунок 15. Информация о домене.
Из данных видно, что cyberleninka.ru использует dns-сервера сайта yandex.ru. Информации о хостинге не получили.
В том случае, если первый способ неприменим, можно попробовать определить хостинг через ip адрес.
Рисунок 16. Поиск данных о хостинге.
Здесь мы не получаем данные о хостинге.
Еще один способ - это использование сервиса cy-pr.com. Перейдем на него и введем в окно интересующий нас домен.
Рисунок 17. Поиск данных о хостинге.
Прямого названия хостинга не получаем, но имеются DNS сервера, по которым можно определить хостинг компанию.
В редких случаях определить хостинг-компанию бывает невозможно. Так делают очень крупные сайты в целях безопасности.
6. АНАЛИЗ ПОЧТОВОЙ СЛУЖБЫ
С данных, полученных с сайта whois1.ru видно, что имеется почтовый сервер mx.yandex.ru.
Данные сервиса 1whois.ru дают информацию:
Рисунок 18. Информация по домену.
ЗАКЛЮЧЕНИЕ
В ходе выполнения расчетно-графической работы была рассмотрены и использованы различные способы сетевой разведки - получение и обработка данных об информационной системе клиента, ресурсов информационной системы, используемых устройств и программного обеспечения и их уязвимостях.
Полностью избавиться от сетевой разведки невозможно. Системы обнаружения вторжений на уровне сети и хостов обычно хорошо справляются с задачей уведомления администратора о ведущейся сетевой разведке, что позволяет лучше подготовиться к предстоящей атаке и оповестить провайдера, в сети которого установлена система.
Размещено на Allbest.ru
Подобные документы
Системные службы хостинг-компании как целевая аудитория сервиса, общие требования к ним. Критерии оценки интерфейса и направления разработки. Проектирование интернет-сервиса, схема его функционирования и принципы реализации, оценка эффективности.
дипломная работа [2,5 M], добавлен 18.11.2013Организация типовых компьютерных сетей. Принципиальное отличие клиента от сервера. Варианты объединения компьютеров. Службы сети Интернет. Регистрация имени домена второго уровня. Способы организации приложений ЭК. Услуги провайдеров и хостинг-центров.
презентация [6,1 M], добавлен 30.08.2013Разработка интернет-сервиса для создания визуального интерфейса системных служб хостинг-компании. Критерии оценки интерфейса и направления разработки. Рабочий стол GlideOS. Выбор архитектуры сервиса, языка программирования и коммуникационных методов.
дипломная работа [3,1 M], добавлен 19.11.2013Уровень развития информационных технологий. Зависимость безопасности Российской Федерации от обеспечения информационной безопасности. Характеристика интернет-попрошайничества. Мошенничества, связанные с интернет-магазинами. Виды компьютерных вирусов.
презентация [188,1 K], добавлен 06.04.2015Основные критерии и требования к средствам поиска по ресурсу. Технологии создания инструментов поиска. Способы поиска по ресурсу. Принцип действия поиска по ключевым словам и при помощи поисковых систем. Разработка ресурса "Поиск по ресурсу" в виде блога.
курсовая работа [983,7 K], добавлен 01.02.2015Функциональные и качественные требования к разработке Интернет-ресурса стоматологической клиники, его роль в деятельности заведения. Разработка базы данных, оригинальных элементов и графического интерфейса. Структура функционирования Интернет-ресурса.
дипломная работа [852,3 K], добавлен 28.03.2012Классификация мер противодействия угрозам информационной безопасности. Системное администрирование. Обеспечение интернет-безопасности на предприятии. Повышение уровня доверия к автоматизированным системам управления. Определение сетевой архитектуры.
дипломная работа [295,5 K], добавлен 03.07.2015Современные подходы к дистанционному образованию. Применение новых образовательных технологий. Анализ подходов к созданию обучающих интернет-ресурсов и выбор среды разработки. Эффективность создания интернет-ресурса с использованием cms-системы ucoz.
дипломная работа [317,4 K], добавлен 26.11.2010Основные способы оплаты в сетевой экономике, их преимущества и недостатки. Осуществление платежных операций в Интернет с помощью платежных систем. Виды данных систем и требования, предъявляемые к ним. Устройства для работы с электронными деньгами.
реферат [19,7 K], добавлен 15.11.2012Всемирная система объединённых компьютерных сетей. Коммерческие интернет-провайдеры. Языки в Интернете. Свобода доступа пользователей Интернета к информационным ресурсам. Интерактивные сайты и программы. Беспроводные системы доступа в сеть Интернет.
курсовая работа [182,9 K], добавлен 09.01.2014
