eyemovic inc.

Works blog仕事の取り組み・ビジョン

2015.07.29

Backtrack Linuxというものがありまして

“BackTrack Linuxって何?” という人もいると思いますので、wikipediaから引用してみます。

BackTrack Linux(バックトラックリナックス)は、ペネトレーションテスト目的に特化した1DVDタイプのLinuxディストリビューションの一つである。
BackTrack – Wikipedia : https://ja.wikipedia.org/wiki/BackTrack

 

“ほほぅ。で、ペネトレーションテストって何?” という人もいると思いますので、更に引用してみると、

ネットワークに接続されているコンピュータシステムに対し、実際に既知の技術を用いて侵入を試みることで、システムに脆弱性がないかどうかテストする手法のこと。侵入実験(しんにゅうじっけん)または侵入テスト(侵入-)とも言われる。
ペネトレーションテスト – Wikipedia : https://ja.wikipedia.org/wiki/ペネトレーションテスト

 

という事のようです。
まとめると「様々な手法でシステムに侵入出来るかを試して、セキュリティが保たれている事を確認するツール」というのが、BackTrack Linuxの説明になるかと思います。

念のため注意しておきますが、「様々な手法でシステムに侵入出来るかを試す」ので、自分の管理外のシステムに対して行うのは間違いなく問題になるのでやらないようにお願いします。
また、自分の管理下にあるシステムであっても、試して何らかの問題が発生した場合などは自己責任でお願いします。

 

なお、このツールでは人間側のミスは分からないので、年(おっと脱線したから戻ろう

 

 

公式サイトは以下のURLです。

http://www.backtrack-linux.org/
BackTrack_Linux_-_Penetration_Testing_Distribution

ただ、2013年に後継となるKali Linuxが公開されているので、今回はそちらを紹介していきます。 こちらがKali Linuxの公式サイト

https://www.kali.org/
Kali_Linux___Penetration_Testing_and_Ethical_Hacking_Linux_Distribution

Joth the Ripperとかド定番の名前もありますねー。
昔は・・・、いや、なんでもないです。

 

まずは実行環境ですが、Windwsやmacにインストールするというものではなく、OSからツールまでワンセットになっています。なので最初に起動ディスクを作成します。
とは言え、ディスクイメージは既に用意されているので、ダウンロードしてDVDに焼いたり仮想環境に入れたりで使えるようになります。いい時代になりましたねー。

なお、イメージファイルは ISO や VMware や VirtualBox などから始まり、 Chromebooks や RaspberryPi 用など色々と用意されているようです。 今回は、VirtualBoxのイメージを落として試してみます。

 

手順:

  1. http://images.kali.org/Kali-Linux-1.1.0a-vbox-amd64.7zをダウンロードします。
    • ダウンロードしたのは圧縮ファイルなので、展開してovaファイルを取り出します。
  2. 出来たファイルをダブルクリックすると、VirtualBoxに追加されます。
  3. VirtualBoxから起動して、Other… を押すとログイン画面になります。Kali-Linux-1_1_0a-vbox-amd64__Running_ 8
  4. Username : root / Password : toor でログイン
  5. 起動完了です。

注意点として、圧縮ファイルが3GBくらいあり、展開すると3GBのファイルが出来て、Virtual Boxに追加すると8GBくらいのイメージが追加されるので、合計15GBくらい消費されます。

ディスク空き容量が少なめの人は注意しましょう。そして、作業が終わったら不要ファイルは削除しておきましょう。

 

起動してメニューを開くと、このような画面になります。
Kali-Linux-1_1_0a-vbox-amd64__Running_

メニュー内のKali Linuxを押すとセキュリティ関連のツールが表示されます。
Kali-Linux-1_1_0a-vbox-amd64__Running_ 2 ここをみて分かるように、多種多様なチェック方法が用意されています。今回は、Googleが公開しているskipfishを選んでみました。skipfishはWebアプリケーションに特化したツールという事ですので、FuelPHPで構築した環境を対象にテストしてみます。

 

手順:

  1. 最初に辞書ファイルをダウンロードします。
    • Kali Linuxの画面でブラウザを起動して、https://code.google.com/p/skipfish/downloads/list から最新版をダウンロード
    • ダウンロードしたファイルを展開して、dictionariesフォルダを適当な場所にコピー。(今回は、Desktop配下にコピーしました。)
  2. Kali Linux → Web Applications → Web Vulnerability Scanners → skipfish から、ツールを起動
  3. “skipfish -S dictionaries/complete.wl -W test -o desktop 対象URL” を実行

今回のチェック先は、色々と迷惑をかけないようにVirtualBox内にあったFuelPHPの環境を使ってみます。 同一PC内の仮想環境から仮想環境へのテストなので、実行時間は通常よりもかかっているとおもいます。

実際の環境では40時間経過してこんな感じ。
Kali-Linux-1_1_0a-vbox-amd64__Running_ 4ちなみにCPU使用率115%で本体もカイロ状態なんですが…。

 

結局44時間ほどかかりました…。 こちらが終了画面です。
Kali-Linux-1_1_0a-vbox-amd64__Running_ 5

 

レポートはHTMLファイルで保存されます。開いてみるとこんな感じで色々な項目について書かれていて、noindex.html残ってるとか、iconディレクトリ見えるぞ、とか指摘されました。

Kali-Linux-1_1_0a-vbox-amd64__Running_ 7

 

という事で、テストツールでチェックしておくとうっかりミスなどの発見にも繋がって安心できるかと思いますので、本番環境の構築時など以外でも色々と試してみる事をお勧めします。

 

まぁ、セキュリティ対策は、今回のようなツール1つで解決出来る問題でもないんですが、「千里の道も一歩から」で対策を進めて、徳丸先生に指摘されないようにしましょう(ぉ

愛媛県松山市でWeb開発一筋15年、700サイト以上の構築実績!

Webサイト制作・システム開発・スマホアプリ開発・組込ソフトウェア開発ならアイムービックにお任せ下さい。