TraceList の手順（３）

>> TraceList のプロファイリングの実際

(1) PrisonMEMO Pro でのチェック
　ターゲットのIPアドレス分布すべてに対する調査が完了すると、"PrisonMEMO Pro" には、表形式でIPアドレスごと、ホストごとの調査結果が表示される。

◇「PrisonMEMO Pro」
http://shop.vagabond.co.jp/o-pmp01.shtml

　この調査結果に対して例えば下記のような点をチェックする。

　・空いているポートのあるIPアドレス
　・ドメイン名がつけられているIPアドレスをチェックする。
　 "gw"、"fw"、"router"、"gateway"といったゲートウェイであることをわかりやすく示しているドメインも少なくない。ゲートウェイである可能性が高い場合、ベンダやファームウェアのバージョンを特定する方法がある。
　　ファームウェアのバージョンに脆弱性があるような場合、ここで発見できる。
　・サーバのバージョンが古いもの、脆弱性が存在しているもの
　　該当する Expoloit コードを送信（Well Known Port を使用）して脆弱性の有無を確認できる。
　・23、80で、見慣れないアプリケーションバナーを返しているIP
　　スイッチ、ルータである可能性が高い。
　　手動でフルアクセスを行い、サーバの応答を確認する
　　例えば、シスコ社のスイッチ、ルータに既知の脆弱性が存在する場合、「level15」といったダイアログが現れ、 Expoloit を行うことで脆弱性の有無を確認できる。ルータ、スイッチについても致命的なセキュリティホールが存在していることがある。
　・ポート25が空いているIPアドレスあるいはMXに対する不正中継テストを実施
　・ポート80、443が空いているものに対する手動フルアクセスによる手動確認
　・上記ポートでWEBサービスが稼動していた場合、簡易webアプリケーションチェックを実施
　　FORMタグの入力項目（checkbox、radiobuttunなど含む）へスクリプトおよびHTMLタグなどのインジェクションを行う。
　　URLにパラメータが含まれる場合のスクリプト、タグのインジェクション
　　上記いずれも基本パターンのみで確認を行う。
　「<>"(){}';= &,#|」などの文字列に対するサニタイジングが行われているかを確認する。
　・netbiosポートの空いているもの
　・その他、チェック項目は、多数あるが、ターゲットの様子やどこまでをチェックすべきかにより、柔軟に項目を調整する。

>> TraceList の再調査

　さらに、調査結果からグレーゾーンと判断されたIPアドレスに対して再調査を実施する。

（詳しくはScan本誌をご覧ください）
http://shop.vagabond.co.jp/m-ssw01.shtml