10 Pentest Tools die de Experts Gebruiken

Inhoud

Soorten pentesting tools

De 10 beste tools voor pentesters

In het kort: de toolkit van een pentester

Betekenis

Soorten pentesting tools

Een toolkit voor pentesting moet een verscheidenheid aan hulpmiddelen bevatten. Een aantal algemene categorieën tools zijn:

Port scanners: identificeren open poorten op het systeem. Dit helpt testers bij het identificeren van het besturingssysteem en de applicaties die momenteel draaien op een netwerk waartoe ze toegang proberen te krijgen. Poortscanners worden gebruikt bij verkenningen en kunnen ideeën opleveren voor potentiële aanvalsvectoren.

Kwetsbaarheidsscanners: zoeken naar bekende kwetsbaarheden in servers, besturingssystemen en applicaties, evenals verkeerde configuraties die in een test kunnen worden uitgebuit. Rapporten van kwetsbaarhedenscanners helpen penetratietesters bij het selecteren van een kwetsbaarheid die kan worden uitgebuit en waarmee ze aanvankelijk toegang tot het systeem kunnen krijgen.

Netwerksniffer – controleert informatie in netwerkverkeer, inclusief de bron, bestemming, de apparaten die communiceren op het netwerk, protocollen en poorten die worden gebruikt. Dit kan handig zijn om te controleren of gegevens versleuteld zijn en om communicatiepaden te identificeren die tijdens de penetratietest kunnen worden misbruikt.

Web proxy – hiermee kunnen penetratietesters het verkeer tussen hun browser en de webservers van een organisatie onderscheppen en wijzigen. Dit maakt het mogelijk om verborgen formuliervelden en andere HTML-functies te detecteren die aanvallen zoals cross-site scripting (XSS) of cross-site request forgery (CSRF) mogelijk kunnen maken.

Wachtwoordkrakers – het hashen van wachtwoorden is een veelvoorkomend doelwit voor aanvallers als middel om privileges op een doelsysteem of netwerk te laten escaleren. Met wachtwoordkrakers kunnen penetratietesters bepalen of de werknemers van een organisatie zwakke wachtwoorden gebruiken die een risico op misbruik vormen.

---

De 10 beste tools voor pentesters

1. Kali Linux

Licentie: open source
GitHub Repo: –

Kali Linux is een besturingssysteem dat pentesting, beveiligingsvoorstellingen en gerelateerde activiteiten mogelijk maakt. Het is een Linux-distributie gebaseerd op Debian, die wordt aangeboden als open source en wordt onderhouden door Offensive Security.

Kali Linux bevat de volgende tools (waarvan sommige afzonderlijk in onze lijst worden behandeld):

• Armitage — grafische tool voor het beheer van netwerkaanvallen

• Nmap —portscanner

• Wireshark — packet-analysator

• Metasploit —penetratietestframe met duizenden exploitmodules

• John the Ripper — raakskraker

• sqlmap — geautomatiseerd SQL-injectie en database-import

• Aircrack-ng — Softwaresuite voor het testen van draadloze LAN-pentesting

• OWASP ZAP — Beveiligingsscanner voor webtoepassingen

• Burp suite — applicatie beveiligingstests

2. Burpsuite

Licentie: gratis en betaalde opties
GitHub Repo: https://github.com/PortSwigger

Burp Suite is een reeks tools voor het testen van applicaties op het gebied van beveiliging, ontwikkeld door Portswigger. De suite is inclusief de populaire proxy Burp Proxy.

Met Burp Proxy kunnen pentesters aanvallen uitvoeren tussen een webserver en een browser door mensen in de middenwand. Ze maken het mogelijk om netwerkverkeer te inspecteren, wat kan helpen bij het opsporen en misbruiken van kwetsbaarheden en gegevenslekken in webapplicaties.

Kenmerken van Burp Suite:

• Een speciale client gebruiken om handmatige tests voor out-of-band kwetsbaarheden uit te voeren.

• Testen en bevestigen van clickjacking aanvallen met gespecialiseerde tooling.

• Beoordeling van de sterkte van token door de kwaliteit van de willekeur in tokengegevensitems te testen.

• Diepe handmatige tests, waardoor het mogelijk is om gereflecteerde of opgeslagen ingangen te zien om te testen op XSS en soortgelijke kwetsbaarheden.

• Registreert de resultaten van geautomatiseerde aanvallen en stelt testers in staat om ze bij volgende aanvallen te verfijnen.

• Maakt het mogelijk om sneller brute-dwingen en fuzzen te maken met aangepaste sequenties van HTTP-verzoeken met meerdere payload-sets.

• Constructies bouwt CSRF-exploits, waardoor het mogelijk is om gebruik te maken van HTML die een CSRF-aanval demonstreert voor een passend verzoek.

3. Zed Attack Proxy

Licentie: open source
GitHub Repo: https://github.com/vanhauser-thc/thc-hydra

In de praktijk is ZAP een gratis en open-source variant van Burpsuite. Zoals de naam al zegt, zit ZAP tussen de browser en de website die wordt getest. Dit maakt makkelijker om het verkeer te onderscheppen, waardoor een tool zoals ZAP ook wel een man in the middle wordt genoemd. De tester kan dit verkeer vervolgens worden geïnspecteerd en aangepast.

Het mist veel van de toeters en bellen van Burp, maar de open-source licentie maakt het makkelijker en goedkoper om op grote schaal in te zetten en het is een uitstekende beginnerstool om te leren hoe kwetsbaar webverkeer echt is.

4. Wireshark

Licentie: gratis en betaalde opties
GitHub Repo: https://github.com/wireshark/wireshark

Wireshark is een oplossing voor netwerkbewaking die netwerkverkeer over verschillende communicatiekanalen vastlegt en analyseert. Penetratietesters kunnen automatisch real-time gegevens lezen van verschillende soorten netwerken, zoals Ethernet-, token ring-, loopback- en ATM-verbindingen (Asynchronous Transfer Mode).

IT-professionals kunnen pakketgegevens van live netwerken vastleggen en pakketten in de vastgelegde bestanden analyseren via een grafische gebruikersinterface (GUI). Met Wireshark kunnen gebruikers vastgelegde bestanden wijzigen met behulp van opdrachtregelswitches, complexe filters toepassen en plugins maken om nieuwe protocollen te analyseren. Het is ook mogelijk om modelines te maken om configuratiebestanden in realtime te wijzigen.

Wireshark stelt pentesters in staat om beveiligingsproblemen in een netwerk te onderzoeken, slecht functionerende netwerkelementen te identificeren die bij een aanval kunnen worden gebruikt en protocolimplementatie- of configuratiefouten te detecteren.

Extra functies zijn onder andere:

• Versleuteling van gegevens

• Nalevingsbeheermogelijkheden

• Serverbewaking en waarschuwingen

• Gegevensimport / export

5. Hydra

Licentie: open source
GitHub Repo: https://github.com/vanhauser-thc/thc-hydra

De metgezel van John the Ripper, Hydra, komt in actie wanneer je online een wachtwoord moet kraken, zoals een SSH- of FTP-login, IMAP, IRC, RDP en nog veel meer. Richt Hydra op de service die je wilt kraken, geef het een woordenlijst door en haal de trekker over.

Tools zoals Hydra herinneren ons eraan waarom het beperken van wachtwoordpogingen en het verbreken van de verbinding met gebruikers na een handvol inlogpogingen succesvolle verdedigingsmaatregelen tegen aanvallers kunnen zijn.

6. Nmap

Licentie: open source
GitHub Repo: https://github.com/nmap/nmap

Nmap is een gratis hulpprogramma dat wordt gebruikt voor het beoordelen en onderzoeken van netwerkbeveiliging. Het ondersteunt Linux, Windows, Solaris, HP-UX, BSD varianten inclusief Mac OS en AmigaOS. Het biedt zowel een CLI als GUI interface.

Penetratietesters kunnen Nmap gebruiken om inzicht te krijgen in welke hosts ze kunnen benaderen op een netwerk, welke services ze ontsluiten, welke frameworks ze draaien en welke soorten gebundelde tunnels of firewalls in gebruik zijn.

Veelvoorkomende taken die via Nmap kunnen worden uitgevoerd zijn onder andere:

• Netwerkmiddelen ontdekken

• Controleren op open poorten

• Toezicht houden op netwerkbeheertaken

• Host uptime observeren

7. John the Ripper

Licentie: open source
GitHub Repo: https://github.com/openwall/john

John the Ripper is een gratis wachtwoordkraakprogramma dat 15 besturingssystemen ondersteunt, waaronder 11 uit de Unix-familie, DOS, Win32, BeOS en OpenVMS.

De tool is aanpasbaar wachtwoord kraker met vele opties voor het testen van wachtwoorden, waaronder:

• Automatische detectie van wachtwoord hash types.

• Brede ondersteuning voor versleutelde wachtwoordformaten waaronder Unix crypt hashes, Kerberos AFS tokens en Windows LAN Manager (LM) hashes.

• Mogelijkheid om wachtwoordcodering gebaseerd op DES, MD5, Blowfish en MD4 te kraken.

• Ondersteuning voor wachtwoordhashes en wachtwoorden die zijn opgeslagen in databases en directorysystemen zoals LDAP en MySQL.

8. Hashcat

Licentie: open source
GitHub Repo: https://github.com/hashcat/hashcat

Hashcat is een populaire wachtwoordkraker die zeer complexe voorstellingen kan kraken. Het doet dit door meerdere zeer effectieve wachtwoordkraakmethoden te combineren.

De belangrijkste techniek die Hashcat gebruikt, is het manipuleren van hashsleutels die worden gegenereerd door algoritmen zoals MD5, SHA, WHIRLPOOL, RipeMD, NTMLv1 en NTMLv2. Dit zijn eenrichtingsfuncties die moeilijk om te keren zijn.

Hashcat zet leesbare gegevens om in een gehashte staat en probeert met verschillende methoden, waaronder woordenboeken, regenboogtabellen en brute krachttechnieken, een hash te identificeren die overeenkomt met een ontdekte hash van een wachtwoord en zo het wachtwoord te kraken.

9. Invicti

Licentie: Commercieel
GitHub Repo: –

Invicti wordt zowel als een cloudservice als een on-premise dienst locatie geleverd. Het biedt een geautomatiseerde beoordeling van de kwetsbaarheid van toepassingen, die pentesters kan helpen bij het identificeren van mogelijke kwetsbaarheden in websites.

Invicti voert een op Chrome gebaseerde crawler uit om kwetsbaarheden te vinden in een verscheidenheid aan webassets, waaronder dynamische webapplicaties, HTML5-websites en applicaties met één pagina, en kan ook geauthenticeerde websites scannen door referenties in te voeren, zonder een Black Box scanner te hoeven configureren.

De belangrijkste functies zijn:

• Gevoelige middelen ontdekken en detecteren

• Geplande tests op kwetsbaarheden

• Detectie van kwetsbaarheden gerelateerd aan OWASP Top 10-aanvallen

• Database beveiligingsaudits

• Identificeren van kwetsbare versies van talen en webframeworks

• Het maken van gedetailleerde rapporten die deel kunnen uitmaken van een pentest rapport

10. Hexway

Licentie: open source
GitHub Repo: https://github.com/hexway

Hexway biedt gebruikers 2-workspace self-hosted omgevingen gemaakt voor pentesting en het beheer van kwetsbaarheden. Het is gemaakt om data van pentest tools (zoals Nmap, Nessus, Burp en Metasploit) te normaliseren en te aggregeren om er op de snelste en handigste manier mee te werken.

Hexway is gemaakt voor pentesters die weten dat tijd zeer kostbaar is – daarom heeft Hive een brede toolkit om met beveiligingsgegevens te werken en werkresultaten in realtime te presenteren.

Ook gaat Hexway niet alleen over pentest rapporten of data aggregatie – het gaat over verbeterde workflow en nuttige methodologieën die het testen kunnen versnellen en meer winst voor het bedrijf kunnen opleveren.

De belangrijkste functies zijn:

• Aangepaste docx-rapporten

• Alle beveiligingsgegevens op één plek

• Kennisbank voor problemen

• Integraties met tools (Nessus, Nmap, Burp, etc.)

• Checklists en pentest-methodologieën

• API (voor aangepaste tools)

---

In het kort: de toolkit van een pentester

Pentesting is uiterst belangrijk om netwerken en applicaties te beschermen tegen indringers. Hoewel er een aantal uitgebreide betaalde aanbiedingen zijn, geven veel pentesters teams de voorkeur aan de veelgebruikte open-source tools waar ze al bekend mee zijn. Met een breed scala aan tools om uit te kiezen, kunnen pentesters hun doelomgevingen uitgebreid testen op allerlei soorten risico’s, van zwakke wachtwoorden tot kwetsbaarheden in de broncode. En ongeacht er gebruik wordt gemaakt van commerciële tools of open-source tools, pentesting is iets wat elke organisatie die haar middelen digitaal beheert zou moeten inzetten.

---