НОВОЕ

Kali Linux – дистрибутив для спеціалістів з кібербезпеки

Kali Linux - обзор, аудит кибербезопасности, защита сайтов

Kali Linux – безкоштовна операційна система сімейства Linux, заснована на дистрибутиві Debian. Розробники ядра: Маті Ахароні, Дейвон Кернс й Рафаель Герцог. Перший реліз відбувся 13 березня 2013 року. Kali Linux підтримується і фінансується американською компанією з кібербезпеки Offensive Security. Поширюється у вигляді 32 і 64-розрядних версій. Операційна система доступна також для платформи Windows і Android. Завдяки великій кількості утиліт та інструментів, операційна система набула величезної популярності серед спеціалістів з кібербезпеки. Я розповім як встановити Kali Linux та опанувати її: провести базове налаштування та навчитися проводити аудити вразливостей на своєму сайті або сервері за допомогою утиліт Kali.

Особливості й переваги Kali Linux

Kali Linux рабочий стол

  • Концептуальність, візуальна довершеність. Kali Linux справляє приємне враження і до нього швидко звикаєш. Елегантний дизайн та інтуїтивно-зрозумілий веб-інтерфейс на базі графічного середовища XFCE. М’який, приємний для очей, напівпрозорий Термінал з командним рядком. Усі шрифти згладжені. Логотип Kali нагадує морського коника, а сама назва “Калі” з санскриту перекладається як “темна”. В індуїзмі Калі – богиня вічної сили, часу, змін, смерті і очищення. Калі Югою називають епоху руйнації та очищення.
  • Швидкість і стабільність. Kali не надто вимоглива до апаратної начинки комп’ютера. Їй достатньо мінімуму ресурсів. Це доволі легка по споживанню операційна система. Її можна встановити і на слабкий чи застарілий комп’ютер. А головне – стабільна. На відміну від Ubuntu, не містить критичних багів, рідко зависає, чудово адаптується до різних пристроїв. Тому, власне, Kali і є робочою операційною системою для спеціалістів по кібербезпеці.
  • Функціональність. Дистрибутив є спеціалізованим і прекрасно оптимізований для роботи з комп’ютерними мережами, аудиту вразливостей та проведення пентестів. До складу Kali Linux входить більше 600 утиліт з кібербезпеки для аналізу доменів, мереж, скануванню портів і серверів, віддалених підключень.

Цікавий факт: КАLI LINUX в 2015 році “засвітилася” на екранах телеглядачів в американському серіалі Mr. Robot (премія “Золотий Глобус” за кращий телевізійний серіал), який оповідає про молодого талановитого інженера кібербезпеки Еліота, який вночі стає хакером і атакує мультикорпорації, які на його думку керують світом і руйнують його. В епізодах показано кілька інструментів Kali Linux – Bluesniff, Bluetooth Scanner (btscanner), John the Ripper, Metasploit Framework, Nmap, Shellshock.

Для кого призначена операційна система Kali Linux?

Kali Linux – універсальна вільна операційна система й насправді може використовуватися у будь-ким та у будь-яких цілях. Але у першу чергу вона орієнтована на безпеку, а не мультимедійні цілі чи розваги, хоча скажу що Kali чудово й з цим справляється. У її збірку входить безліч професійних інструментів, які можуть бути використані лише за фаховим призначенням та з відповідною підготовкою (наприклад NMAP, Metasploit, BurpSuite, Maltego).

Отже, найбільше Kali Linux буде цікавою: 

  • Мережевим Адміністраторам – це хлопці, які займаються виключно комп’ютерними мережами і у їх завдання входить протестувати їх на будь-які подразники, а також відслідкувати перебіг подій у мережі (відправка/прийом пакетів, аналіз TCP/IP портів, прослуховування HTTP-трафіку).
  • Аналітикам з кібербезпеки –  ці люди ретельно аналізують усе, що відбувається у мережевому, комп’ютерному світі на виявлення несанкціонованого доступу, порушення конфіденційності, витік даних, кіберінциденти, а також ідентифікація вразливостей програмного забезпечення й інтернет-ресурсів. Це дуже корисні люди, адже саме вони дбають за вашу безпеку в інтернеті.
  • Пентестерам – це по-суті хакери, але “білі”, які займаються тестуванням кібербезпеки, проводять тести на проникнення (penetration testing). Тобто, ці хлопці моделюють та відтворюють будь-які атаки, які можуть статися й усувають їх. І Kali Linux їм у цьому чудово допомагає.
  • Інженери з комп’ютерної форензики – це висококваліфіковані інженери, які добре розуміються на архітектурі комп’ютерних пристроїв, інтернет-мереж, програмного забезпечення, електронних ресурсів та проводять комплексний аналіз файлів, даних, технічних вузлів. Наприклад, аналіз кібер-інцидентів, огляд комп’ютерних пристроїв на взлом. Можуть порівняти контрольні суми файлів (hash-таблиці) та свідчити про їх цілісність. Також можуть проаналізувати роботу електронних пристроїв та їх вузлів на спробу несанкціонованого втручання. Фактично, це реверс-інженери, які часто застосовуються в комп’ютерній криміналістиці.
  • OSINT-спеціалістам – аналітики, дослідники, сорсери, тобто люди, які займаються пошуком та аналізом даних величезного об’єму (Big Data) в інтернеті, обробляють їх та вправно будуть ланцюжки збігів. Можуть проводити розслідування, знайти та ідентифікувати людину за номером телефону, електронною поштою чи будь-яким іншим цифровим відпечаткам. Однак на відміну від спеціалістів з форензики, в їх сферу не входить “залізо”. Сьогоднішня OSINT-спеціальність виникла як логічне продовження так-званої бізнес-розвідки для аналізу конкурентів, а також є частиною соціальної інженерії.

Системні вимоги

  • 128-512 Мб оперативної пам’яті, а ще краще 2 Гб
  • 2 Гб дискового простору, а ще краще 20 Гб
  • 32 або 64-бітний процесор
  • Відеоадаптер
  • Інтернет

Встановлення Kali Linux

Установка Kali Linux

Отже, весь процес встановлення операційної системи Kali Linux проходить в 4 кроки:

  1. Завантажуємо ISO-образ з Kali Linux з офіційного сайту
  2. Клонуємо ISO-образ на USB-накопичувач з допомогою програми balena.Etcher
  3. Завантажуємо комп’ютер з USB-накопичувача (попередньо увімкнувши таку опцію в BIOS/UEFI)
  4. В меню завантажувальника Kali обираємо Graphic Install. Запуститься вікно встановлення Kali Linux, яке займе від 10-20 хвилин. З детальним керівництвом по встановленню Kali LInux можна ознайомитися на офіційному сайті>>

До речі, ви також можете завантажити готову віртуальну машину з Kali Linux та лише імпортувати її з допомогою програми VirtualBox.

Налаштування Kali Linux

Базовая настройка Kali Linux

1. Оновити систему

Відкрити Terminal (Ctrl+Alt+T), авторизуватися під root та виконати команду:

apt-get update && apt-get upgrade

* У випадку помилок про залежності (dependencies), виконати:

sudo apt --fix-broken install
sudo apt-get update
sudo apt-get upgrade

2. Вимкнути автоблокування екрану

Перейти в меню: Settings-> Power Manager -> Display -> Display power management й перевести радіокнопку в положення Вимкнено. На вкладці Security обрати опцію Automatically lock the session -> Never.

3. Додати мовну розкладку клавіатури

Меню: Settings -> Keyboard -> Layout, зняти галочку з Use system defaults та з допомогою кнопки “Add” додати необхідні мовні розкладки, вказавши також гарячі клавіші.

Щоби відобразити їх на Панелі задач – клацнути на панелі правою кнопкою миші, далі перейти у налаштування Panel -> Add New items, обрати Keyboard Layouts й натиснути “Add”. Відтепер на Панелі задач відобразиться прапор країни, мову якої використовуєте.

4. Встановити й налаштувати VPN

Тестуючи різні методи проникнення або проводячи аудити кібербезпеки своїх сайтів рекомендується використовувати VPN (Virtual Private Network), який дозволить точно змоделювати атаку і за одне унеможливить потрапляння вашого справжнього IP у бан та black-лісти.

Ось ряд рекомендованих мною VPN-сервісів:

OpenVPN

Open VPN

OpenVPN (Open Virtual Private Network) – open-source реалізація технології VPN. В Kali Linux OpenVPN-клиент встановлений по замовчуванню, тому потрібно лише додати сконфігурувати з’єднання, що можна зробити просто скачавши готовий ovpn-файл і підключившись до нього в командному рядку Linux:

sudo openvpn filename.ovpn

Припинити VPN-з’єднання – Ctrl+C.

Створити VPN-підключення можна також у налаштування інтернет-з’єднання: Панель задач -> “VPN connections” -> “Configure VPN” .

Windscribe VPN

Windscribe VPN install in Linux

Windscribe – популярний VPN-сервіс, який існує в різних версіях (безкоштовна/PRO) та підтримує різні браузери (додаток Windscribe), операційні системи, включаючи Windows та Linux (Ubuntu/Debian/Fedora/CentOS). Новеньким Windscribe дарує 10 Гб трафіку по VPN. Особливістю Windscribe є те, що компанія не збирає дані інтернет-трафіку своїх користувачів – відразу після від’єднання вся історія стирається.

Детальна інструкція як встановити Windscibe VPN на Linux>>

ProtonVPN

Ще один якісний кросплатформний VPN-сервіс з великою кількістю локацій, а також додатків. Існує у безкоштовній та платній версіях. Достатньо швидкий, надійний та функціональний VPN. Весь трафік в ProtonVPN пропускається через ТОR мережу, що гарантує його шифрування. Не зберігає історію відвідування інтернет-сайтів з вашого пристрою та захищає DNS від витоку даних.

Kali Linux - дистрибутив для спеціалістів з кібербезпеки

Детальна інструкція як встановити ProtonVPN на Linux>>

5. Встановити й налаштувати SSH-клієнт

На відміну від Windows, в Linux досить проблематично знайти більш-менш достойний безкоштовний SSH-клієнт з графічною оболонкою з широкими функціональними можливостями, подібно до Bitvise SSH і MobaExterM, які нажаль існують тільки у Windows-версіях. А використовувати стандартний доступ до SSH я не хотів. Понишпоривши в інтернеті я таки знайшов рішення – це Ásbrú Connection Manager.

Встановити його в Kali Linux мені вдалося з допомогою наступного набору команд:

sudo su -

apt install perl libvte-2.91-0 libcairo-perl libglib-perl libpango-perl libsocket6-perl libexpect-perl libnet-proxy-perl libyaml-perl libcrypt-cbc-perl libcrypt-blowfish-perl libgtk3-perl libnet-arp-perl libossp-uuid-perl openssh-client telnet ftp libcrypt-rijndael-perl libxml-parser-perl libcanberra-gtk-module dbus-x11 libx11-guitest-perl libgtk3-simplelist-perl gir1.2-wnck-3.0 gir1.2-vte-2.91

wget https://dl.cloudsmith.io/public/asbru-cm/release/deb/debian/pool/buster/main/a/as/asbru-cm_6.3.2-1_all.deb

sudo dpkg -i asbru*.deb

6. Встановити й налаштувати редактор коду Sublime Text

wget -qO - https://download.sublimetext.com/sublimehq-pub.gpg | sudo apt-key add -
sudo apt-get install apt-transport-https
echo "deb https://download.sublimetext.com/ apt/stable/" | sudo tee /etc/apt/sources.list.d/sublime-text.list
sudo apt-get update
sudo apt-get install sublime-text

7. Встановити менеджер паролів

Кращим безпечним рішенням на сьогодні є KeePass2 та його форк KeePassXC. Останній має безліч опцій, зокрема підтримує двофакторну авторизацію та легко інтегрується у веб-браузер з допомогою додатка. Завантажити KeePassXC для Linux>>

8. Встановити додаткові програми

sudo apt-get install doublecmd-gtk // Double Commander (аналог Total Commander)

sudo apt install filezilla  // FTP-клієнт

sudo apt-get-install virtualbox// середовище віртуалізації для запуску віртуальних машин

wget https://www.dropbox.com/download?dl=packages/ubuntu/dropbox_2020.03.04_amd64.deb

sudo dpkg -i dropbox_*_amd64.deb// хмарний накопичувач для зберігання бекапів та іншої інформації – Dropbox

sudo apt-get install unrar unace rar p7zip zip unzip p7zip-full p7zip-rar file-roller // “пачка” архіваторів

apt-get install chromium // веб-переглядач Chromium, аналог Google Chrome

apt-get install nethogs -y  // NetHogs – утиліта для моніторингу мережі

Також можна ще встановити TOR і Telegram Desktop наступним способом:

  • Завантажуємо архіви з офіційних сайтів
  • Розпаковуємо tar xvf <імя_пакету>
  • Просто запускаємо виконувані файли, копіюємо ярлики на Робочий стіл.

9. Здійснити очищення системи

Після всіх встановлень рекомендується очистити Linux від зайвих пакетів командами:

sudo apt-get autoremove -y
sudo apt-get autoclean -y
sudo apt-get clean -y

10. Вимкнути зайві ефекти

В Каli Linux по замовчуванню використовується менеджер веб-інтерфейсу, композитор Compiz. Він додає безліч зайвих ефектів у вигляді: тіней, прозоростей, затухань. Усіх їх, я вважаю, для комфортної та стабільної роботи XFCE (графічна оболонка Kali) необхідно прибрати. Для цього перейдемо в меню: Settings -> Windows Mananger Tweaks та приберемо чекбокс “Enable display compositing” на вкладці Сompositor:

Як відключити compositor в Kali Linux

Тепер встановимо замість нього новий композитор – Compton, який до речі вирішує поширену проблему для користувачів Linux – прибирає так-званий “тіринг” (зубчасті нерівності при гортанні веб-сторінок, а також перегляду динамічного онлайн-відео). Отже, перейдемо до команд терміналу:

sudo apt-get install compton

Тепер, щоб він запустився необхідно додати його в Автозавантажувач Linux: Settings -> Session and Startup. Тут потрібно додати нову програму, вказавши у полі “Команда” рядок:

/usr/bin/compton --backend glx --paint-on-overlay --vsync opengl-swc

Перезавантажуємося і бачимо, що жодного тірингк більше немає. Однак, тим не менш, у нас інша задача – відключити зайві графічні спецефекти. Для цього необхідно створити або відредагувати файл конфігурації Compton:

nano /home/користувач/.config/compton.conf

Скопіювати готові налаштування для Compton можете скопіювати на моїй сторінці Github>>

Ще раз перезапускаємо і більше нав’язливі “прибамбаси” вас не потурбують.

11. Оптимізувати завантаження Linux

Додатково можемо оптимізувати швидкість завантаження операційної системи Linux. Для цього необхідно всьо лиш відредагувати файл конфігурації завантажувача Grub й відредагувати рядки:

GRUB_TIMEOUT=2 // змешуємо час простою завантажувача до 1-2 с.
GRUB_CMDLINE_LINUX_DEFAULT="quiet libahci.ignore_sss=1 raid=noautodetect selinux=0 plymouth.enable=0" // libahci.ignore_sss – вимикаємо зайву перевірку жостких дисків; raid=noautodetect – вимикаємо розпізнавання raid, якщо їх не використовуєте; selinux=0 – не обов’язково, але можна вимкнути цю додаткову систему безпеки, якщо користуєтеся linux в домашніх умовах; plymouth.enable=0 – вимикаємо заставку.

Зберігаємо файл CTRL+O. Запускаємо команду оновлення Grub:

sudo update-grub

Перезвантажуємося. Тепер, щоби оцінити швидкість завантаження, виконуємо:

systemd-analyze

Додатково рекомендую прочитати статтю від Offensive Security як кастомізувати Kali Linux>>

Вирішення типових проблем з Kali Linux

Скидання паролю

Якщо забув пароль входу в систему і треба встановити новий:

  1. Заходимо в завантажувач GRUB, обираємо Advanced Linux Boot
  2. Натискаємо E й у коді замість ro пишемо rw і після нього (замість quiet splash) дописуємо init=/bin/bash
  3. Натискаємо F10
  4. В командному рядку вводимо: passwd username
  5. Змінюємо пароль
  6. Перезавантажуємося: exec /sbin/init

Не працює тачпад в Kali Linux (рішення)

В Калі Лінукс для власників ноутбуків може стати несподіванкою те, що подвійне натискання на тачпаді відключено. Для вирішення цієї проблеми перейти у налаштування: Start-> Settings ->Mouse and Touchpad, на вкладку Touchpad і активувати чекбокс “Tap touchpad to click”. Перезавантажити систему.

Не працює Wi-Fi Broadcom в Kali Linux (рішення)

1. Спочатку перевіряємо чи є wi-fi (wlan0) пристрої в системі:

sudo iwconfig

2. Якщо wlan0 не знайдено, значить драйвер пристрою не встановлений.

Для початку потрібно дізнатися модель пристрою з допомогою команди:

lspci

3. Дивимося Network й знаходимо модель, наприклад Broadcom BCM4311.

4. Встановлюємо драйвер:

apt-get install firmware-b43-installer
reboot

Результат: Wi-Fi запрацював.

Гарячі клавіші Kali Linux (hot keys)

  • F1 – довідка
  • F10 – бокове меню
  • Ctrl + Alt + T – відкрити термінал
  • Ctrl + Shift + W – згорнути термінал
  • Ctrl + Shift + Q – закрити термінал
  • Alt+Tab – перемикання між програмами
  • Alt + F1 – відкрити вікно
  • Alt + F2 – відкрити вікно пошуку програм
  • Alt + F4 – закрити вікно
  • Alt + F7 – переміщення вікна
  • Alt + F8 – змінити розмір вікна
  • Alt + F10 – перемкнути режим максимізації
  • Ctrl + Alt + D – мінімізувати усі вікна
  • Alt + Space – меню вікна
  • Print – зробити скріншот
  • Alt + Print – скріншот вікна
  • Shift + Print – скріншот виділеної області
  • Ctrl + Print – скопіювати скріншот у буфер обміну
  • Ctrl + Alt + Print – скріншот вікна в буфер обміну
  • Shift + Ctrl + Print – скріншот області в буфер обміну
  • Shift + Ctrl + Alt + R – записати коротке відео екрану

Утиліти і сканери Kali Linux

Заувага: Описи і приклади до нижчеперелічених утиліт взяті автором з документації Kali Linux, яка надається у вільному доступі в інтернеті. Матеріал викладений лише для ознайомлення, з метою навчитися самотужки проводити аудит кібербезпеки й захистити свій сайт від хакерським атак. Ні в якому разі не намагайтеся використовувати ці інструменти у будь-яких несанкціонованих діях, щоби не порушити чинного законодавства. Рекомендується проводити будь-які експерименти чи тестування у віртуальній “пісочниці”.

NMAP

NMAP

Nmap (Network Mapper) – “культовий” інструмент пентестера, призначений для сканування та аналізу мережевих пристроїв, портів, протоколів, дослідження інтернет-мереж.

Приклад базових команд:

  • nmap -O -osscan-guess IPaddress – перевірка доступності мережевих портів, перевірка операційної системи на сервері (якщо точно визначити неможливо, перелічується кілька імовірних варіантів у процентах). Чим більше точної інформації покаже ця команда – тим гірше захищений ваш сайт/сервер.
  • nmap -sV IPaddress –  показує які служби працюють на мережевих портах і які веб-сервери запущені
  • nmap -A IPaddress – поглиблене сканування сервера за його IP-адресою, видає детальну інформацію по кожному порту, видає URL-адреси адмін-панелей сайту

Існує також окрема версія для користувачів ОС Windows під назвою Zenmap.

Офіційний сайт NMAP>>

WhatWeb

What Web Scanner

WhatWeb Package – це цілий набір сканерів і плагінів (> 1700) для аналізу веб-ресурсів. Показує усі технології, які є на сайті: хостинг, веб-сервер, фреймворк, CMS-система, мови програмування, системи аналітики та інші програми й сервіси. Показує фізичне розташування сервера (IP-адреса, країна). Застосовується спеціалістами з кібербезпеки на етапах розвідки (OSINT), а також аудитах безпеки.

Приклади базових команд:

  • sudo whatweb example.com – вивід короткої інформації по технологіям на сайті
  • sudo whatweb -v example.com – вивід повної інформації з описом плагінів і технологій
  • sudo whatweb -a 3 example.com example2.com example3.com – поглиблене сканування кількох сайтів (видає точну версію CMS та назви плагінів/модулів/компонентів)

Документація по WhatWeb>>

WPScan

How use WPscan

WPScan – найпотужніша утиліта для сканування сайтів на CMS WordPress. За кілька хвилин ви отримуєте всю інформацію про сайт: назва теми, список та версії плагінів, аналіз robots.txt, аналіз XML-RPC, WP-Cron, розташування системних файлів та папок і таке інше. Утиліта в першу чергу дозволяє користувачу самостійно проаналізувати свій сайт на стійкість до кібератак, а також схильність до різних вразливостей. Існує окрема версія WPScan для Windows (попередньо треба встановити Ruby). В інтернеті доступна також онлайн-версія WPScan.

Приклади базових команд:

  • sudo wpscan --url example.com – збір загальної інформації по сайту
  • sudo wpscan --url example.com --enumerate u – дізнатися список користувачів з їх логінами
  • sudo wpscan --url example.com -passwords '/slovar.txt' – тест на брутфорс-атаку
  • sudo wpscan --url example.com -passeords '/slovar.txt' --random-user-agent – маска рандомного юзер-агента (якщо на сайті спрацював WAF)

Для формування власної бази словників можна скористатися додатковими утилітами: Cupp, Crunch.

JoomScan

Joomscan

JoomScan – аналог WPSCan, тільки для Joomla. Утиліта не настільки потужна як WPScan, але з її допомогою можна проаналізувати свій сайт на Joomla і зайнятися його безпекою.

До пакета Kali Linux Joomscan не входить, тому його потрібно попередньо встановити:

git clone https://github.com/rezasp/joomscan.git
cd joomscan
perl joomscan.pl

Приклад базових команд:

  • perl joomscan.pl --url example.com – вивід загальної інформації про Joomla (версія CMS, модулі, плагіни, компоненти, а також їх вразливості, URL-адреси адмінок, вміст robots.txt та інше)
  • perl joomscan.pl -u example.com --ec – перерахує усі встановлені компоненти

Довідник по Joomscan>>

Droopescan

Установка Droopescan

Усе те ж саме, що й WPScan та Joomscan, тільки для Drupal’а.

Встановлення:

sudo apt-get python3-pip
pip install droopescan

Приклад базової команди:

droopescan scan drupal -u http://example.com

Nikto

Nikto Web Scanner

Nikto – популярний сканер сайтів та серверів на інтернет-вразливості: SQL, XSS, XXE, SSRF та інші ін’єкції. Працює по типу “хробака”, пролізає в усі доступні закутки файлової системи сервера та аналізує його структуру. Покаже яких HTTP-заголовків безпеки бракує на сайті. Корисна утиліта, однак може блокуватися серверним фаєрволом.

Приклад базової команди:

  • nikto -h IPaddress

Dirb

DIRB install on linux

Dirb – чудова утиліта для аудиту кібербезпеки на сайті. Сканує всю файлову структуру сайту і показує ті, до яких відкритий доступ. Часто це можуть бути небажані або конфіденційні директорії, або сервіси, з допомогою яких можна нанести кібератаку. До прикладу, завдяки цій утиліті я знайшов доступ до PhpMyAdmin для всіх користувачів інтернету, що дозволяло здійснювати підбір паролів, SQL-ін’єкції або DDos атаки. Так що це дуже корисний інструмент для захисту від несанкціонованого доступу.

Встановлення:

sudo apt-get install dirb

Приклад базових команд:

  • dirb IP-addess
  • dirb domain

Аналоги Dirb: Dirhunt, Dirbuster.

SQLmap

SQLmap

SQLmap – потужний інструмент для аудита SQL-бази данних, перевіряє на стійкість до взломів та ін’єкцій.

Встановлення:

git clone https://github.com/sqlmapproject/sqlmap.git sqlmap-dev
cd sqlmap-dev/
./sqlmap.py --wizard

Приклад базових команд:

  • sqlmap --url="https://example.com"
  • sqlmap --url="https://example.com" --cookie="paste cookie for url" --dbs --batch
  • sqlmap -r /file_with_http_headers -D nowasp --tables --batch --random-agent --tamper=space2comment --level=5

Iptodomain

Iptodomain utility in Linux

IPtodomain – інструмент для аналізу IP-адрес. Дозволяє також знайти усі сайти, розміщені на одному IP. Корисна утиліта.

Встановлення:

git clone https://github.com/jevalenciap/iptodomain.git
cd iptodomain/
python2 iptodomain.py

Приклад базових команд:

  • dig +short example.com
  • python iptodomain.py -i IPaddress -f IPaddress -w /путь_к_файлу_для_сохранения_результатов – покаже усі домени по заданому IP або його діапазону

Traceroute

Легендарна утиліта для діагностики інтернет-з’єднання, а саме вимірювання швидкості передачі пакеті в IP-мережі. В джентльменському наборі Калі її немає, тому необхідно встановити:

sudo apt-get install traceroute

Приклад базової команди:

  • traceroute example.com– покаже кількість вузлів при передачі пакетів від хоста до сервера, й назад.

Telnet

Telnet command line

Ще одна славетна утиліта, яку знає кожен адміністратор. Здійснює зв’язок з сервером по протоколу Telnet (Terminal Network). Може бути корисною у вирішенні мережевих преблем, а також різноманітним скануванням, збором інформації.

Встановлення:

sudo apt-get install telnet

Приклад базової команди:

  • telnet IPaddress– встановити Telnet-з’єднання за вказаною IP-адресою
  • telnet IPaddress 22 – встановити Telnet-з’єднання за вказаною IP-адресою на конкретному порту

Ознайомитися з повним списком утиліт для Kali Linux>>

Як захистити сайт на WordPress: поради й рекомендації

Как защитить сайт на WordPress от взлома

CMS WordPress – одна з найбільш вразливих до хакерських атак систем управління сайту. І все завдяки її популярності, яка вже давно перевищила усі можливі межі. Понад 3 мільйони сайтів в мережі на WordPress. За статистикою, за все існування системи було виявлено понад 300+ критичних вразливостей. Щомісяця понад 132 мільйони спам-коментарів розсилається на сайти під управлінням WordPress. Компанія Revisium провела масштабне дослідження, яке показало, що з 2350 шаблонів в понад 50% виявлені різні ін’єкції, “хробаки”, шпигунські скрипти, руткіти та інше. У 2012 році сайт Reuters був зламаний через застарілі версії WordPress (v. 3.1.1.).

Мої рекомендації:

  • Використовуйте стійкі паролі, які складаються з 10-ти та більше символів різного регістру (UPPERCASE/lowercase)
  • Не створюйте акаунти із стандартними іменами, наприклад: admin, root, maria1975 і так далі. Генеруйте складні, комбіновані логіни.
  • Обов’язково встановіть SSL-сертифікат для сайту (підійде Lets Encrypt) і негайно переведіть сайт на HTTPS-протокол (унеможливлює перехват даних на сайті)
  • Використовуйте системи перевірки на спам, наприклад Google ReCaptcha або WP Captcha
  • Змініть стандартну URL-адресу сторінки авторизації (допоможе плагін WP Hide Login)
  • Обов’язково встановіть фаєрвол (наприклад, Wordfence, WPScan, IThemes Security, Sucuri, Zerber, Acunetix, All in One Security) та увімкніть двофакторну авторизацію (2FA);
  • Видаліть файли readme.html та license.txt у кореневій директорії сайту (після оновлення WordPress вони можуть з’явитися знову)
  • Обов’язково файл wp-config.php перенесіть із кореневої директорії на один рівень вище, або попросіть зробити це адміністратора. Це унеможливить атаки спрямовані на цей файл, який є ключем до вашого сайту на CMS WordPress.
  • Попросіть системного адміністратора встановити на сервері систему захисту від кібератак, наприклад CSF, Fail2ban, IPtables тощо.
  • Створіть правильний файл robots.txt в кореневій директорії сайту і заблокуйте в ньому доступ інтернет-ботів до конфіденційних папок та файлів сайту (наприклад, wp-admin, wp-login.php, wp-config.php, wp-settings.php та ін.)
  • Встановіть коректні права доступу на файли та папки вашого сайту
  • Перевірте конфігурацію файлу .htaccess і заблокуйте в ньому небажані URL-адреси сайту, а також IP-адреси
  • Рекомендується змінити стандартний префікс бази даних wp_
  • Перевіряйте усі теми та плагіни, які ви звантажуєте та встановлюєте на своєму сайті – часто вони можуть містити шкідливий код, або просто бути вразливими до ін’єкцій
  • Регулярно оновлюйте CMS WordPress і все що з ним пов’язано (розробники щоденно усувають баги, пов’язані з безпекою).
  • Обов’язково раз в тиждень або місяць проводьте резервне копіювання даних (у випадку злому та знищення сайту – ви завжди швидко зможете його відновити)
  • Як додатковий варіант, можете перейти на CDN від Cloudflare

Дбайте про свою кібербезпеку, успіхів вам!

Оценка:
( Поки що оцінок немає )
Подписка на KRASHENININ.TECH

Получайте регулярные обновления на почту!


Виталий Крашенинин/ автор статті
Засновник блогу, публіцист, оглядач веб-технологій, ІТ-спеціаліст. Дослідник цифрового світу. Сфокусований на кібербезпеці, системному адміністрування та веб-розробці й SEO.
Не забудьте поделиться материалом в соцсетях:
Krasheninin.tech - блог про веб-технології, і не тільки
Подписаться
Уведомление о
guest
0 Комментарий
Встроенные отзывы
Просмотреть все комментарии
0
Есть мысли? Прокомментируй!x
()
x
Read previous post:
Как работать с GIT
Як почати працювати з GIT

Git - це безкоштовна (GNU) кросплатформенна система контролю за версіями коду (SCM), розроблена Лінусом Торвальдсом. Являє собою набір утиліт командного...

Close