War Story: Physischer Penetrationstest – aus dem Alltag eines Analysten

Wie in einer Pentestingfirma üblich besteht viel der alltäglichen Arbeit aus dem Überprüfen von IT –Infrastruktur, wie etwa Webapplikationen und Netzwerken. Extrem spannend wird es für uns jedoch, wenn wir im Rahmen eines Red Teams beauftragt werden, auch die physische Sicherheit zu überprüfen. In meinem letzten Fall sollte ich versuchen physisch bei einer Versicherungsgesellschaft einzubrechen. Die Thematik des physischen Zugangs finde ich persönlich sehr spannend, vor allem weil ich in meiner Freizeit bei der Freiwilligen Feuerwehr tätig bin und so früh erste Erfahrungen im Bereich des gewaltsamen Eindringens kennengelernt habe. Allerdings ist der Einbruch im Rahmen der Feuerwehr nicht mit dem unerlaubten Eindringen bei einem Red Team Assessment zu vergleich. Beim Red Team Assessment wird ein reeller Angriff von uns…
mehr lesen

Erweiterte Zustandsverfolgung für SQLMAP

Während eines Red Team Assessments bei eines unserer Kunden stand der Autor des Artikels zuletzt vor einer prinzipiell recht angenehmen Situation: in einer internen Webanwendung konnte er eine SQL Injection identifizieren, die ausnutzbar schien. Die Anwendung war relativ klein und nur für einen eingeschränkten Benutzerkreis zugänglich, aber laut Aussagen interner Dokumentation zusammen mit anderen, größeren Anwendungen für die Verwaltung unternehmenskritischer Daten zuständig. Also ein äußerst interessantes Angriffsziel für jemanden, der genau auf diese Daten aus wäre. Um nun das Ziel des Tests zu erfüllen und an die sensiblen Daten zu kommen, musste die Schwachstelle ausgenutzt werden. Das beste Tool hierfür ist zweifelsohne sqlmap [1]. Es gab allerdings mehrere Herausforderungen beim Ausnutzen der Schwachstelle für sqlmap: zunächst handelte es sich um…
mehr lesen