Hacken in de klas

Een phishingmail maken

Phishing is een vorm van social engineering (de kunst van het opwekken van vertrouwen) waarbij criminelen een e-mail naar de slachtoffers verzenden om te hengelen naar gegevens of om malware te installeren. De meeste cyberaanvallen (bv. ramsomware) starten met een phishingmail.

Opdracht: door zelf een phishingmail te maken zal je phishing mails beter kunnen herkennen. Maak zelf eens een phishingmail en stuur deze naar de docent.

Slotvraag: hoe kan je zich tegen zoiets beschermen?

Sluit het venster

Een server scannen

Het verzamelen van informatie is een belangrijke stap in de algemene hackmethode. Met diverse (online) tools is het mogelijk om informatie te verzamelen over computers en servers.

Opdracht
Ga naar https://www.whatismyip.com:

- Zoek het IP-adres op van http://scanme.org
- Welke poorten staan er open op de server met het IP-adres 45.33.32.156 ?
- Draait de webserver met de domeinnaam http://scanme.nmap.org/ op een Apache webserver? Is het besturingssysteem Linux?

Slotvraag: hoe kan een organisatie zich tegen zoiets beschermen?

Sluit het verster

Achterhaal het wachtwoord

De voornaamste kwetsbaarheden omtrent wachtwoorden zijn makkelijk te raden wachtwoorden, korte wachtwoorden, wachtwoorden die nooit worden vernieuwd, hetzelfde wachtwoord gebruiken voor meerdere diensten en wachtwoorden laten rondslingeren.

Opdracht
Wat zou het wachtwoord van Victorio Loyka zijn? Ga naar https://victorioloyka.nl en vis het uit.

Slotvraag: hoe kan Victorio Loyka zie tegen zoiets beschermen?

Sluit het venster

Hashing van wachtwoorden

Hashing is een Engels woord. Het betekent "mengelmoes". Een hash functie vormt een leesbaar wachtwoord om naar een tekenreeks (of hash) van een vaste lengte. Met een rainbow table kan een hacker het leesbaar wachtwoord achterhalen. Het is een tabel met allerlei mogelijke wachtwoorden en de hashes van deze wachtwoorden.

Opdracht
Ga naar https://crackstation.net/ en zoek het leesbaar wachtwoord van de hash 2285F929D38932996BD99687EBBD732EA3B18AED

Opdracht 2
Ga naar https://www.cleancss.com/sha256-hash-generator/ en maak een hash van het wachtwoord: weekend
Kan je de hash weer worden omgezet naar een leesbaar wachtwoord met https://crackstation.net/ of https://md5decrypt.net/en/Sha256/?

Opdracht 3
Ga naar https://www.cleancss.com/sha512-hash-generator/ en maak een hash van een sterk wachtwoord (22 tekens lang, geen woorden, bestaande uit letters, cijfers en tekens). Kan de hash weer worden omgezet naar een leesbaar wachtwoord met https://crackstation.net/ ?

Slotvraag: hoe kan je zich beschermen tegen een Rainbow table aanval?

Sluit het venster

Google zoekoperatoren

Zoekoperatoren van Google zijn speciale tekens en opdrachten (ook wel “geavanceerde operators” genoemd) die de mogelijkheden van gewone zoekopdrachten uitbreiden. De zoekoperators zijn nuttig voor het verzamelen van informatie over de slachtoffers.

Opdracht: gebruik een of meerdere zoekoperatoren (intitle, inurl, intext, filetype en/of site) om een xls-bestand te vinden op een website met een topleveldomein vlaanderen. In het xls-bestand moet de tekst “@gmail.com” staan.

Slotvraag: hoe kan een organisatie zich tegen zoiets beschermen?

Sluit het venster

CVE

CVE staat voor Common Vulnerabilities and Exposures. Het is een manier om softwarekwetsbaarheden te ordenen en categoriseren. CVE informatie is nuttig voor criminelen, beveiligingsonderzoekers en penetratietesters. Kwetsbaarheden en informatie over CVE’s kan worden gevonden op diverse websites en met allerhande tools.

Opdracht: zoek op https://cve.mitre.org een recente MS Office kwetsbaarheid. Bestaat voor de kwetsbaarheid al een patch?

Slotvraag: hoe kan je zich tegen zoiets beschermen?

Sluit het venster