Documenti di Didattica
Documenti di Professioni
Documenti di Cultura
CON ZANTI
SEGURIDAD DE REDES
Junio - 2016
Autores: Gutiérrez Ampuero Diego Mario de Jesús, Pacsi Gamboa Lourdes Priscila
Uso No Comercial: El material original y los trabajos derivados pueden ser distribuidos, copiados y
exhibidos mientras su uso no tenga fines comerciales.
Al reutilizar o distribuir la obra, tiene que dejar bien claro los términos de la licencia de esta obra.
Teniendo en cuenta el debido permiso de los autores y el uso de referencias concretas del material
base presentado.
El presente documento cumple con las condiciones de accesibilidad del formato PDF (Portable
Document Format). Así se trata de un documento estructurado y etiquetado, provisto de alternativas
a todo elemento no textual, marcado de idioma y orden de lectura adecuado.
2|
Manual de Prueba de Pentesting con zANTI
INDICE
3|
Manual de Prueba de Pentesting con zANTI
1. Prueba de Pentesting
Una manera de poder asegurar esta seguridad es a través de los Pentesting: Penetration
Tests, o Pruebas de Penetración como se traduciría al español, que consta en el uso de
herramientas y procedimientos que prueben la seguridad que tienen los sistemas
informáticos o en general, las redes de computadoras de una entidad para así poder
evaluar la robustez que se tiene, afianzar los puntos Fuertes y corregir los errores por
donde pueden haber posibles vulnerabilidades desde adentro y desde afuera.
Se debe de tener en cuenta que para cualquier entidad pública o privada que cuente con
algún tipo de red de computadoras, o el simple uso de internet se debe de realizar una
evaluación de Pentesting cada cierto tiempo para poder afianzar la seguridad integra
general, así como también realizar mejoramientos periódicos y progresivos para afianzar
la seguridad y no dejar puertas por donde posibles ataques puedan llegar a suceder.
4|
Manual de Prueba de Pentesting con zANTI
2. ¿Por qué utilizar zANTI?
Una consideración especial es que para poder realizar el Pentesting de manera correcta
se debe tener el dispositivo móvil donde esta alojada la aplicación en la misma red Wi-Fi
donde están los recursos de la empresa. Otro punto muy importante es que debido al
grado de manipulación e intrusión que se realiza con la aplicación en un celular, este
celular debe de estar en modo Root, o de superusuario de la raíz, para poder tener todos
los permisos necesarios para un Pentesting satisfactorio.
5|
Manual de Prueba de Pentesting con zANTI
3. Donde realizar la intrusión
6|
Manual de Prueba de Pentesting con zANTI
3.1. Access Point
La opción común para poder realizar la prueba de penetración dentro de
una red es conectarse a la red de Wi-Fi más próxima que se tiene a
disposición, teniendo en cuenta para motivos de demostración en este
ejemplo del uso de la aplicaicon zANTI, la conexión que se realizará será
con una red Wi-Fi de área local genérica y anónima para revisar el
procedimiento estándar para conectarse.
7|
Manual de Prueba de Pentesting con zANTI
Activar la opción de prendido para el dispositivo de conexión Wi-Fi
con el que cuenta el dispositivo móvil a utilizar para la prueba de
penetración.
8|
Manual de Prueba de Pentesting con zANTI
Seleccionar la Red Wi-Fi pertinente a donde se realizará la prueba
de penetración.
9|
Manual de Prueba de Pentesting con zANTI
Ingresar las credenciales de uso de la WLAN, confirmar y esperar a
una conexión satisfactorio.
Fig.4. Panel de ingreso de credenciales para conectarse a una red Wi-Fi. Se procede a
escribir la contraseña pertinente y confirmar la conexión.
Una vez realizados estos simples pasos para establecer la conexión con la WLAN de la
entidad donde se realiza la prueba de penetración, ya se contará con una red Wi-Fi en
la cual operar para utilizar zANTI.
10 |
Manual de Prueba de Pentesting con zANTI
4. Root
Este modo particular puede ser utilizado en cualquier dispositivo electrónico para poder
obtener un rango mucho mayor, casi absoluto de propiedades y permisos para poder
modificar el propio entorno y funcionamiento del dispositivo o de otras interfaces con las
que se cuente de este.
Para este caso dentro del uso de una aplicación móvil en un sistema operativo como lo
es Android, y en especifico para el uso de la aplicación zANTI es necesario para sacar
el mayor provecho y uso optimo el tener el modo Root activado dentro del dispositivo
móvil con el que se realizara la prueba de penetración. De esta manera la aplicación
tendrá todos los permisos disponibles sin restricción para poder analizar el dispositivo
mismo y de manera integra y general toda la red de computadoras de Wi-Fi en la que se
encuentra conectada.
Con el uso de root se puede detectar datos sensibles dentro de la red respecto a datos
de conexión y de contacto de las computadoras a las que se tiene alcance, a el servidor
principal que se posee e incluso a otros dispositivos móviles que estén conectados en la
misma red. El rango de uso de zANTI en una red cuando se tienen los permisos de Root
se convierte en un gran factor de éxito dentro de la misma prueba de penetración a
realizar, pero hay que tener la precaución del caso ya que activar el modo Root también
conlleva vulnerabilidades en el mismo dispositivo móvil a agentes externos que sepan
del cambio de permisos.
Dentro de los teléfonos móviles actuales la mayoría de los dispositivos modernos que
usan el sistema operativo Android, y que lo poseen en una versión igual a 6.0 o superior
en modelos mas modernos presentan varios inconvenientes para realizar el cambio de
usuario normal a usuario Root. Se tiene en cuenta el uso de procedimientos especiales
y uso de otras herramientas de Rootkit para poder desbloquear estas funcionalidades
que llegan a ser mucho mas afables en modelos con el sistema operativo anterior a 6.0.
11 |
Manual de Prueba de Pentesting con zANTI
Una de las versiones de Android mas distribuidas y completas que existen teniendo un
campo de uso del 100 hasta ahora dentro del mercado de clientes, es la versión 4.4. o
conocida con el nombre clave KitKat, desde esta versión hasta versiones anteriores 6.0
son las versiones del OS donde se puede realizar el cambio a modo Root de manera
mas fácil sin procedimiento o complicaciones de mayor escala.
12 |
Manual de Prueba de Pentesting con zANTI
Fig.5. Pagina Oficial inicial de KingoRoot, se muestra la opción para realizar la
instalación de la aplicación en la computadora de escritorio con Windows, o en el
dispositivo móvil Android.
13 |
Manual de Prueba de Pentesting con zANTI
A continuación, proceder a ejecutar el ejecutable del instalador.
14 |
Manual de Prueba de Pentesting con zANTI
Fig.8. Ventana del acuerdo de licencia de software para el uso del Software KingoRoot.
15 |
Manual de Prueba de Pentesting con zANTI
Fig.9. Ventana para la estipulación de carpeta de instalación.
16 |
Manual de Prueba de Pentesting con zANTI
Fig.10. Ventana para la confirmación del nombre de la carpeta de alojamiento en inicio
para el uso de la aplicación KingoRoot.
17 |
Manual de Prueba de Pentesting con zANTI
Fig.11. Ventana para la confirmación de creación de un acceso directo al escritorio.
18 |
Manual de Prueba de Pentesting con zANTI
Fig.12. Ventana de constatación para confirmar las opciones y datos de la instalación a
realizar.
19 |
Manual de Prueba de Pentesting con zANTI
Fig.13. Ventana donde se muestra el progreso general de la instalación de la
aplicación, en la muestra actual ya se finalizó la instalación, pero se está confirmado
para terminar.
20 |
Manual de Prueba de Pentesting con zANTI
Fig.14. Ventana de confirmación de la instalación exitosa de la aplicación KingoRoot.
21 |
Manual de Prueba de Pentesting con zANTI
Fig.15. Ventana donde se muestra el estado de actualización de la aplicación de
haberse encontrado una, de forma automática.
22 |
Manual de Prueba de Pentesting con zANTI
Fig.16. Ventana que muestra el establecimiento de conexión con el dispositivo móvil
conectado por cable USB.
23 |
Manual de Prueba de Pentesting con zANTI
Fig.17. Ventana emergente que muestra las instrucciones para activar el modo debug
por USB para realizar el proceso de Root.
24 |
Manual de Prueba de Pentesting con zANTI
Fig.18. Ventana que muestra instrucciones para activar automáticamente el modo
debug por USB en el teléfono Android, para entablar siempre la comunicación con la
computadora personal utilizada actualmente.
Debido a que el proceso de debug por USB usa permisos para el uso del
celular y la computadora personal donde se ha conectado, se debe de
confirmar en el teléfono móvil que siempre se permitirá el uso del modo
debug por USB.
25 |
Manual de Prueba de Pentesting con zANTI
Fig.19. Ventana donde se muestra que la aplicación ha detectado satisfactoriamente el
modelo del celular que se va a cambiar a modo Root.
26 |
Manual de Prueba de Pentesting con zANTI
Fig.20. Ventana donde se muestra el progreso del proceso de Root.
27 |
Manual de Prueba de Pentesting con zANTI
Fig.21. Ventana donde se confirma el proceso de Root satisfactorio.
28 |
Manual de Prueba de Pentesting con zANTI
Fig.22. Ventana que se muestra cuando el proceso de Root ha fallado.
Es posible que este error sea algo aislado del momento, así que se
recomienda intentar al menos iniciar el proceso una vez más. De no
funcionar significa que el dispositivo móvil al que se esta intentando
cambiar a modo Root tiene una versión de Android muy actualizada y esto
crea conflictos mayores.
Para realizar el proceso de Root en este caso también se puede optar por
contactar al servicio de soporte al cliente de KingoRoot desde la pagina
oficial, claro que estos servicios posteriores pueden costar cargos fijos.
29 |
Manual de Prueba de Pentesting con zANTI
5. Proceso de Instalación de zANTI
Una vez realizado el proceso de Root para poder otorgar al teléfono móvil los permisos
de superusuario o administrador que necesita para operar en su entorno y en el de la
empresa, es necesario realizar la instalación de la aplicación misma de zANTI.
30 |
Manual de Prueba de Pentesting con zANTI
Fig.24. Página con el código QR generado.
31 |
Manual de Prueba de Pentesting con zANTI
Fig.25. Menu desglosable de Android donde se muestra la descarga de zANTI en
segundo plano.
32 |
Manual de Prueba de Pentesting con zANTI
Fig. 26. Pantalla que muestra la descarga finalizada del ejecutable de instalación de
zANTI.
33 |
Manual de Prueba de Pentesting con zANTI
Fig.27. Ventana emergente que puede salir por bloqueo de aplicaciones externas a
Google.
Por ser una aplicación distribuida de manera independiente y no por los servicios de la
tienda virtual de Google, el propio Android puede interrumpir el proceso de instalación,
para esto se deben de dar los permisos necesarios para desbloquear el uso de la
aplicación. Al salir la ventana emergente, elegir la opción Settings o Configuración para
otorgar permisos de instalación y uso.
34 |
Manual de Prueba de Pentesting con zANTI
Fig.28. Pantalla donde se muestra las opciones de seguridad de Android.
35 |
Manual de Prueba de Pentesting con zANTI
Fig.29. Cuadro emergente para confirmar permisos a los recursos ajenos a Google.
36 |
Manual de Prueba de Pentesting con zANTI
Fig.30. Pantalla de inicio de instalación de zANTI donde se muestra los permisos que
necesita y usara para su normal funcionamiento.
37 |
Manual de Prueba de Pentesting con zANTI
Fig.31. Pantalla de confirmación de que zANTI se ha instalado.
38 |
Manual de Prueba de Pentesting con zANTI
6. Uso de zANTI para Pentesting
Fig. 32. Ventana emergente al abrir por primera instancia zANTI, se evidencia el uso de
Root.
Una vez instalada la aplicación, al abrir esta debido a que se realizó el proceso de
cambiar el usuario principal del teléfono móvil a Root o superusuario, se debe de
confirmar los privilegios de Root para poder continuar con el uso de la aplicación.
39 |
Manual de Prueba de Pentesting con zANTI
Fig.33. Pantalla inicial de Login para zANTI.
40 |
Manual de Prueba de Pentesting con zANTI
7. Análisis de la Red
8. Conexión de Fuerza Bruta
9. Diccionario de Contraseñas
10. Conclusiones
41 |
Manual de Prueba de Pentesting con zANTI
Página oficial de la aplicación zANTI, donde se encuentra la opción de descarga privada:
https://www.zimperium.com/zanti-mobile-penetration-testing
42 |
Manual de Prueba de Pentesting con zANTI