ソフトウェア TIPS (19) kali linuxでセキュリティスキャンマシンにする (CuBox-i 4Pro)

今回は質問を受けたのをきっかけに検証作業を行ったKali Linuxについて取り上げてみたいと思います。まずは、率直な質問、たくさんのディストリビューションがある中で、果たしてDebianベースのKaliの存在意義があるのでしょうか？　Kali はいわゆる「ペネトレーションテスト」向けの機能が標準で充実していることをウリにしているディストリビューションです。「ペネトレーションテスト」というのはセキュリティ脆弱性診断テストで、脆弱点を発見したり、攻撃への耐性を診断するものです。テストツールに徹したLinuxディストリビューションとしてユニークな存在となっているわけです。

　Webアプリのサイトを管理したり、開発されている方だと、Kaliの専用マシンを横においてサイトの安全性をチェックをするためにお使いの方もいらっしゃるのではないでしょうか。しかしながら、専用マシンとして常時キープするほどのものではないとも言えます。PCにインストールする場合だと、まずはインストールメディアを入手するか、仮想環境用の仮想ディスクをダウンロードすることになります。公式サイトのダウンロードページから 32bit 版/64bit 版の ISO ファイルをダウンロードして DVD メディアに焼いておき、このDVDから起動することが可能です。この場合に問題なのは、編集用にPCを使っているとそのPCが占有されると不便だということです。PCとは別途、CuBox-iでKaliを運用すると一番リーズナブルなのではないでしょうか。むろん、通常はUBUNTUとかメディアプレーヤーとして使っていてもSDを交換するだけ、という超簡単さで。

 インストール

　以下のサイトからCuBox-i用のイメージがダウンロードできます。

http://www.offensive-security.com/kali-linux-vmware-arm-image-download/

イメージの書き込みは通常と同じでいけます。win32 Disk imagerを使っても大丈夫です。

書き込みの済んだSDをセットしてCuBox-iを起動させます。最初の設定ではid=root, password=toorとなっています。

（kaliの本家サイト https://www.kali.org/downloads/ からダウンロードできるKali Linux ARMEL Imageでは、CuBox-iを起動させる部分がないので、別途U-Bootの書き込みが必要となります。）

　せっかくなのでコマンドが簡単に入れられるように GUI のインストールを行いたい、ということであればデスクトップ環境LXDEをインストールします。

起動するには次のコマンドを打ちます。

テスト環境としてしか使わないのでれば英語のままでも良さそうですが、デスクトップ機として見栄えと使い勝手を追求するのであれば日本語化することも容易です。ペタピココラムの

「(14) CuBox-i にUbubtu14.04, LXDEをインストールする」

http://goo.gl/ozWjrb

と同じです。参照して続きを行ってください。

また、kernel configurationを代えたビルドイメージが欲しい場合など、ソースからビルドする方法をとるならば、こちらのgithubが使えます。

https://github.com/offensive-security/kali-arm-build-scripts

また、詳しい公式ドキュメンテーションは

http://docs.kali.org/

に用意されているので、必要に応じて参考にするといいでしょう。

　さて、Kali Linuxが動くようになったところで、Kaliでできる「テスト」がどんなものかを試してみましょう。ドキュメントを参照すると、以下のようなものがチェックできることになっています。

• サーバーサイドSQL/PHPインジェクション
• GET/POSTメソッドのパラメータにおけるSQL風命令の埋め込み
• サーバーサイドシェルコマンドインジェクション
• サーバーサイドXML/XPathインジェクション
• フォーマット文字列に関する脆弱性
• 整数オーバーフローに関する脆弱性
• PUTメソッドでのLocations受け入れ

　画面右上のKali Linuxというメニューを開いてみると、色々なツールがインストールされていることが分かります。素人目には全体的には似たような機能に見えます。どのツールで何が得意なのか、何が含まれていないのか、それらツール間の性能の差などは専門のサイトなどを参照ください。

　CuBox-i用のイメージでインストールした場合、プレインストールされるツールの数がPC用のものと比べて格段に少なくなっています。本来Kaliに対応したツールは非常に数多くあります。このページの一覧から、各ツールに対するUSAGE EXAMPLEもここから参照ができます。ただし、アップデートのためなのか、時々アクセスできないことがありますが基本ちゃんと情報アップデートされています。

http://tools.kali.org/tools-listing

　実際にツールを使ってみるにあたっては、ご自分が管理しているサービスや、ローカルでお試しください。やってからの感想となりますが、nodeベースでjavascriptで書かれたサイトなど動的なサイトではうまくチェックができないことがあるようです。そのような場合には一旦該当のページを表示させて、そこをトップにしてチェックするとよいようです。