PentestBox je přenosné pentest prostředí pro Windows. Má připravené testovací nástroje, které lze doinstalovat a aktualizovat přes manažer nástrojů. To je zajímavé, pokud nechcete bootovat linux kvůli pár příkazům. Aplikace jsou nativně kompilované pro windows a neměli byste zápasit s ovladači.  Zní to zajímavě, pojďme se podívat, jak je to ve skutečnosti.

Instalace

Z domovské stránky https://www.pentestbox.org si můžete stáhnout verzi s Metasploitem nebo bez něj (kvůli alarmu antivirů na payloady). V době psaní příspěvku jsem testoval verzi 2.3.

Před instalaci si vypněte antivirus a Windows Defender, jinak zahlásí signaturu a smaže vám instalované soubory pod rukama. Samotný instalátor je „klik klik next“. Ponechte však instalaci na disku C, která si s metasploitem vezme něco lehce přes 5 GB.

Dokumentace a podpora

Celý projekt má hezky zpracovanou základní dokumentaci, která bude stačit do začátku. V případě problému nebo požadavku na integraci nového nástroje můžete navštívit fórum. Poslední příspěvky jsou ale z května roku 2019. Pro poslední trendy bych spíše sledoval sociální sítě, které najdete na stránkách v sekci Connect (FB má přes 3k sledujících, TW 1326).

První spuštění

Na ploše najdete ikonu PentestBox a pak jedete v terminálu ConEmu-Maximus5, což je emulátor pro konzolové aplikace napsané ve WinAPI a UNIX PTY. Tato konzole má komfortní záložky, barvičky a dovolí vám dělit okna. Pokud vás zaujala, můžete si ji doinstalovat nezávisle na PentestBoxu.

Podrobných nastavení v terminálu je přehršle. Líbila se mi i integrace aplikací, které mají GUI. Například starší nástroj DirBuster se roztáhnul do konzolového okna.

Nástroje

Mezi základními nástroji najdete nmap, metasploit, burp suite, zap, john the ripper, hydru, nikto, hashcat, sqlmap, něco z androida a dokonce i aircrack-ng pro hackování wifi. Podporu všech dostupných nástrojů můžete prošmejdit v sekci tools – https://tools.pentestbox.org

Distribuce přibaluje ještě browser firefox s některými doplňky rovnou do lišty. Pro podporu aplikací najdete předinstalovanou Javu a interprety Ruby a Python.

Vedle toho sebou PentestBox nese podporu základních linux nástrojů bash, ssh, vim, curl, cat, gzip a mnoho dalších.

Aktualizace

Aktualizace PentestBox prostředí je možné provádět pomocí příkazu update. Pokud chcete aktualizovat jen nástroje, použijte příkaz toolsmanager. Aktualizace jsem vyzkoušel a internetové repo žije. Za mne palec nahoru, protože bez toho by verze softwaru i prostředí postupně umíraly.

Co nefunguje

PentestBox nemá ambici přinést POSIX shell a kompatibilitu s Unix/Linux systémy, například příkaz find nemá volbu -exec, nefunguje příkaz history apod. Pokud prahnete jen po této integraci, doinstalujte si Linuxový subsystém od Microsoftu (WSL).

Doménou PentestBoxu je integrace nástrojů, ale ne všechny se povedly na jedničku. Občas spustíte toolek, například instarecon, a PentestBox nemůže najít cestu k souboru. Dále se mi nepodařilo spustit Wireshark, chyběla mi DLL knihovna api-ms-win-crt-runtime (testováno na čistých Windows 7 Professional). Odkaz na bug reporting mi přes sekci FAQ nezafungoval a tím jsem pokusy o workaroundy ukončil. Naštěstí řada dalších nástrojů namátkou fungovala.

Finální verdikt

Nevěnoval jsem testování dostatek času, proto shrnu spíše své dojmy a začnu zápory.

Úplně mne nepřesvědčila integrace všech nástrojů v tomto prostředí, některé nešly spustit. Na druhou stranu chyby se nevyhýbají ani samotným linuxovým distribucím jako je Kali. Diskuzní fórum nevypadá moc živě, těžko predikovat, jak velká je komunita. Na githubu jsou dva contributoři. Což je ale dobrý výsledek, pokud je tomu skutečně tak.

Pojďme se ale podívat na ty pozitivní případy, kdy chcete mít PentestBox ve svém arzenálu.

Terminál s běžnými interprety

PentestBox je zajímavý už jen z pohledu, že dostanete pěkně přebalený terminál, který má v sobě nastavenou javu, python, ruby a bash. Navíc k tomu dostáváte základní linux utilitky. Nevím jak je na tom dnes Microsoft s Linux subsystém, pokud už jej máte, jděte dál.

Přenositelnost

PentestBox má silnou „fíčru“ přenositelnosti, ta může v některých fázi pentestu hrát klíčovou roli. PentestBox si přinesete na USB a je hotovo. Základní sada testovacích nástrojů splňuje očekávání začínajících a sezóních pentesterů, kteří nechtějí pokaždé spouštět VM s Kali Linuxem. PentestBox lze nasdílet i z filesharu, ale bude to vyžadovat trochu trpělivosti.

Pentest nástroje na klik

Je-li Microsoft Windows vaše platforma a máte rádi CTF soutěže, PentestBox vám ušetří start VMka a určité nástroje provoláte z fleku rychleji.

Omezený HW a zdroje

PentestBox je také hodně zajímavá alternativa pokud nemůžete z nějakého důvodu používat virtualizaci a dualboot. Například máte málo RAM, místa na disku, zejména na více stanicích.

Omezené financování je časté pro vzdělávací instituce a „cybersecurity“ výuka s omezeným rozpočtem může být s PentestBoxem možná. Navíc nemusíte řešit, že studenti ze začátku neumějí linux.

Závěr

Pokud vás PentestBox zaujal, vyzkoušejte ho a posuďte sami, zda splňuje vaše nároky. Popřemýšlejte také jak jej podpořit. Zapojte se jako programátor nebo pomocník s kvalitou. Oslovte vývojáře a vyjádřete mu podporu, ikdyby to měl být malý a symbolický příspěvěk.

To je pro dnešek vše. Zvažujete-li cestu etického hackera od začátku, rád uvidím na hacking kurzech.