Teste de invasão: Exploração de falhas – Parte 4

No post anterior da série, discutimos sobre o primeiro item da lista das 10 vulnerabilidades do OWASP  (Open Web Application Security Project): A vulnerabilidade A1 – Injection.

Neste post, vamos falar um pouco sobre um tipo de ataque que é de Força Bruta. Confira!

O ataque de força bruta é uma forma de conseguir algum acesso privilegiado através de inúmeras tentativas. Esse ataque é feito para tentar descobrir, por exemplo, uma senha. A ideia é que sejam realizadas diversas tentativas até que uma delas seja a “senha” correta.

Esses ataques podem ser realizados tanto de forma manual — o que, dependendo do caso, é impraticável devido ao número de possíveis tentativas — quanto de forma automatizada através de ferramentas.

Para o teste que realizamos para este post, utilizamos o Burp Suite, uma plataforma que pode ser utilizada para a realização de testes de segurança web. Esta ferramenta tem uma versão gratuita no Kali Linux e permite a descoberta e exploração de vulnerabilidades de segurança, utilizando como proxy para capturar requisições entre o navegador e a aplicação web, sendo possível ver os dados que estão sendo transmitidos.

Atenção! A realização de testes não pode ser realizada sem autorização. Portanto, o DVWA é uma ótima opção para quem quer praticar os testes de Segurança de Aplicações Web.

No vídeo abaixo, montei um passo a passo para realizar este teste, utilizando  Burp Suite e DVWA:

Formas de evitar

Uma das formas de evitar esse ataque é ter logs de acesso para analisar, entre todos os eventos, quais são aqueles que representam tentativas sem sucesso, e qual a frequência dessas tentativas.

Além disso, é interessante criar alertas para que os responsáveis possam verificar caso a frequência saia do que é esperado para o período.

Por fim, cuidados como não utilizar nomes que são tidos como padrão, como “admin”, utilizar senhas mais complexas com letras maiúsculas e minúsculas, além de números e caracteres especiais, pode ajudar a dificultar esse tipo de ataque.

No próximo post, vamos conhecer a próxima fase: Pós-exploração de Falhas. Até a próxima!

Referências: Testes de Invasão: Uma Introdução Prática ao Hacking – Georgia Weidman; Segredos do Hacker Ético – Marcos Flávio Assunção;Curso Fundamentos de Ethical Hacking: curso prático – Marcos Flávio Assunção; OWASP top ten