Auteur Sujet: [TUTO] Utilisation de Sparta sur une metasploitable  (Lu 27811 fois)

0 Membres et 1 Invité sur ce sujet

Hors ligne WK

  • Contributeur de Kali-linux.fr
  • Membre régulier
  • *****
  • Messages: 188
  • +19/-1
[TUTO] Utilisation de Sparta sur une metasploitable
« le: 14 mai 2016 à 19:39:22 »
Bonjour tout le monde !

Voici un petit tuto sur l’utilisation de Sparta, un outil automatisant la recherche d’informations et l’analyse de vulnérabilités. Testons l’outil sur une « metasploitable » !

Premièrement, scannons le réseau avec netdiscover.



Notre metasploitable est la machine « 192.168.1.61 ». Maintenant lançons Sparta :



En bas, il y a la liste des processus en cours. A gauche, la liste des cibles, et à droite, les résultats sous forme d’onglets. Ajoutez une cible en cliquant dans la zone bleue, remplissez le champ et cliquez sur « Add to scope » !



Et .. C’est tout. Le scan se lance tout seul ! Bien sur, vous pouvez entrer une plage d’ip à scanner, mais ce ne serait pas très discret.. ;-)
Sparta fait son job tout seul.




Maintenant observons les résultats ! Tout d’abord, observons le premier onglet « Services » qui montre les ports ouverts.
Personnelement, j’ai été surpris de la clarté de la présentation par rapport à un scan nmap console. Comparez les deux : sur lequel sera-t-il le plus facile de voir à quel port est le shell root directement accessible en telnet ?



Bref, ce n’est qu’un qu’un scan de ports. Le reste est plus intéressant ! 
Il y a les résultats directs d’un scan nikto :



Une capture d’écran du serveur Apache tournant sur la machine :



De plus, Sparta a programmé tout seul un Brute-forcing mysql avec Hydra et a récupéré le login :



Qui se révèle être correct et nous donne un accès direct à la base de données !



Sparta a aussi trouvé le login du serveur ftp !





Qui nous donne aussi un accès direct au serveur:



Sparta collecte encore d’autres informations et vulnérabilités intéréssantes, il ne suffit que de se pencher et regarder ;-)


Les plus observateurs auront remarqué que Sparta contient aussi un module de Brute-Forcing épuré utilisant Hydra.



On remplit les champs, on appuye sur « Run ».. Et hop !



On vérifie tout cela avec une connexion ssh..




Et on obtient l’accès direct à la machine !:D :D :D :D

N.B : J’ai été étonné/bluffé de voir comment Sparta a bruteforcé une centaine de mot de passes en 4 secondes (j’ai chronometré :p) alors qu’avec Hydra en mode console cela me prend plusieurs minutes pour autant de mot de passes, et encore parce que je dois réduire le nombre de Threads avec Hydra pour obtenir un résultat correct. Notez que je n’ai testé que le ssh et le telnet. Si quelqu’un a une explication.. ;-)

Pour finir, n’oubliez pas d’enregistrer votre « travail » ce qui donnera un joli dossier assez complet :




Conclusion :

Sparta est un outil puissant qui permet l’exploitation de machines vulnerables en quelques clics ! Il ne suffit que d’entrer l’ip, et tout apparaît presque par magie. Naturellement, une machine réelle n'aura pas tant de vulnérabilité.. Mais le quota dépense d'énergie et compétences requises par rapport au résultat est preque inquiétant ^^

Merci d’avoir lu ce tuto !:D
« Modifié: 14 mai 2016 à 20:42:04 par WK »

Hors ligne WarLocG

  • Contributeur de Kali-linux.fr
  • Membre sérieux
  • *****
  • Messages: 474
  • +67/-0
  • Spé Code Python Java Bash
Re : [TUTO] Utilisation de Sparta sur une metasploitable
« Réponse #1 le: 14 mai 2016 à 20:03:16 »
Citer
/* Excusez-moi pour les images misent sous forme de lien, je n'ai pas trouvé comment les mettre directement dans le tuto*/

BBCode:

Si tu veux un lien cliquable vers ton image:
[url=http://url.vers.image/?ici]
  [img]
    http://url.vers.image/?ici
  [/img]
[/url]

Si tu veux juste l'image:
[img]
  http://url.vers.image/?ici
[/img]
(tiens pas compte de mon indentation, c'est pour la clarté)

Si tu déposes tes images sur pix.toile-libre.org, tu recevras automatiquement les BBCode pour déposer tes images.

Bien à toi, et merci pour le tuto
« Modifié: 14 mai 2016 à 20:09:25 par WarLocG »
A lire avant de poser vos questions : http://www.linux-france.org/article/these/smart-questions/smart-questions-fr.html
Pour les questions de base sous debian : https://debian-facile.org/index-df.php
Veuillez utiliser la fonction Rechercher avant de poster.

Hors ligne coyotus

  • Contributeur de Kali-linux.fr
  • Membre Elite
  • *****
  • Messages: 3793
  • +264/-30
  • IN GNU WE TRUST
    • Groupe d'Utilisateurs de GNU/Linux...
Re : [TUTO] Utilisation de Sparta sur une metasploitable
« Réponse #2 le: 15 mai 2016 à 08:11:14 »
Sparta est un outil puissant qui permet l’exploitation de machines vulnerables en quelques clics ! Il ne suffit que d’entrer l’ip, et tout apparaît presque par magie. Naturellement, une machine réelle n'aura pas tant de vulnérabilité.. Mais le quota dépense d'énergie et compétences requises par rapport au résultat est preque inquiétant ^^
En même temps c'est vrais que vu que le test est fait sur un machine volontairement vulnérable, c'est facile, mais sur une machine réelle ce genre d'outil automatisé ne fonctionne jamais heureusement.

Hors ligne WK

  • Contributeur de Kali-linux.fr
  • Membre régulier
  • *****
  • Messages: 188
  • +19/-1
Re : [TUTO] Utilisation de Sparta sur une metasploitable
« Réponse #3 le: 15 mai 2016 à 12:40:01 »
Citer
En même temps c'est vrais que vu que le test est fait sur un machine volontairement vulnérable, c'est facile, mais sur une machine réelle ce genre d'outil automatisé ne fonctionne jamais heureusement.

Malheureusement, il me semble que ca arrrive encore que certains laissent des mots de passe comme "admin" par défaut.. Mais c'est clair que sur un système sensible l'outil ne fonctionnera pas (et se fera même torcher la gu**** vu sa discrétion ^^ ),  et heureusement ! ;-)