ChatGPT para Pentesters

 A medida que el mundo se digitaliza cada vez más, la seguridad se ha convertido en un tema cada vez más importante. Las empresas y organizaciones deben buscar formas nuevas e innovadoras de mejorar la seguridad de sus productos. Un nuevo enfoque prometedor es el uso de modelos de lenguaje, como ChatGPT, en las áreas de seguridad.

Desde resolver problemas matemáticos simples hasta descifrar exámenes de medicina y derecho, desde enmarcar argumentos de venta hasta analizar y encontrar vulnerabilidades en el código, ChatGPT se ha convertido en un nuevo genio en la ciudad.

ChatGPT es un modelo basado en conversaciones desarrollado por OpenAI. ChatGPT es capaz de generar respuestas similares a las humanas y también es capaz de responder preguntas de seguimiento. Está entrenado en un gran conjunto de bases de datos utilizando un modelo de retroalimentación humana. También puede realizar traducción, resumen y generación de texto.

Al utilizar la tecnología de procesamiento de lenguaje natural de ChatGPT, es posible automatizar varias tareas en el campo de la ciberseguridad. Algunas áreas clave donde ChatGPT puede ser útil en seguridad son Inteligencia de amenazas, Evaluación de riesgos, Respuesta a incidentes, etc. Además, ChatGPT puede ayudar en algunos aspectos de las pruebas de penetración, como el reconocimiento, el análisis de vulnerabilidades, la explotación, la generación de plantillas de informes y otras automatizaciones.

En este artículo, exploraremos cómo ChatGPT es útil con respecto a las áreas de seguridad, como análisis de código fuente, reconocimiento, pruebas de penetración manual, DevSecOps y automatización de tareas de seguridad como: creación de extensiones de Burp Suite, generación de informes de Pentest, creación independiente herramientas para identificar vulnerabilidades, etc.

Nota: Se requiere inteligencia humana para analizar los resultados de ChatGPT. ChatGPT puede generar respuestas a preguntas y realizar tareas basadas en patrones aprendidos, no siempre es preciso y, a veces, puede cometer errores o producir resultados que no son relevantes o apropiados .

 

ChatGPT para pruebas de penetración:

La prueba de penetración es un ataque simulado autorizado para evaluar la seguridad de un sistema o red. El objetivo de una prueba de intrusión es identificar vulnerabilidades en el sistema o la red que un atacante podría explotar y proporcionar recomendaciones de corrección para remediar las vulnerabilidades identificadas.

Usando ChatGPT, uno puede realizar pruebas de penetración efectivas y ayudar a asegurar sus productos de principio a fin. ChatGPT puede ayudar a agilizar y mejorar la eficiencia de estos procesos, ahorrando tiempo y esfuerzo para los evaluadores de penetración.

 

Fases de las pruebas de penetración:

Las pruebas de penetración involucran varias etapas, como reconocimiento, escaneo de vulnerabilidades, pruebas de penetración manual e informes. ChatGPT puede ayudar a los pentesters a probar sistemas y redes de manera rápida y eficiente en busca de debilidades y a desarrollar ataques dirigidos que puedan explotar esas debilidades.

Para fines de demostración, hemos considerado aplicaciones de código abierto como demo.testfire.net y OWASP Juice Shop.

1. Reconocimiento:

ChatGPT se puede utilizar para el reconocimiento durante la realización de pruebas mediante el análisis de datos y la información recopilada de diversas fuentes y la identificación de posibles vulnerabilidades y vectores de ataque. Esto incluye el análisis de información como la arquitectura de la red, las versiones de software y el comportamiento del usuario, así como la identificación de posibles debilidades en los protocolos y procedimientos de seguridad.

Como se muestra en la captura de pantalla, ChatGPT puede sugerir herramientas para el reconocimiento.

Además, se le preguntó a ChatGPT cómo usar la herramienta Nmap para escanear cualquier objetivo. Proporcionó algunos comandos que se probaron manualmente como se muestra en las capturas de pantalla a continuación.

2. Prueba de penetración manual:

ChatGPT puede ser útil para proporcionar casos de prueba para pentesting manual al generar una amplia gama de posibles escenarios de ataque y casos de prueba basados ​​en los datos y la información proporcionados por los analistas de seguridad. Esto puede ayudar a garantizar que todas las vulnerabilidades potenciales y los vectores de ataque se prueben y aborden adecuadamente durante el proceso de pentesting manual.

ChatGPT puede ayudar a garantizar que el proceso de pentesting manual sea completo y efectivo, y que todas las vulnerabilidades potenciales se prueben y aborden adecuadamente.

ChatGPT puede proporcionar casos de prueba para aplicaciones web, API, contenedores y pruebas de nivel de red.

Como ejemplo, le pedimos a ChatGPT que proporcione casos de prueba manuales junto con cargas útiles para la inyección de SQL, como se muestra en la captura de pantalla.

3. Generación de informes Pentest:
ChatGPT puede agregar los resultados de múltiples análisis de vulnerabilidades y ayudar a priorizar los hallazgos en función del riesgo y el impacto. También automatiza el proceso de generación de informes, lo que ahorra tiempo y aumenta la precisión. Puede ayudar a estandarizar el formato del informe y garantizar la coherencia entre los diferentes informes.

La información detallada sobre las vulnerabilidades que se encontraron durante la fase de prueba de penetración manual se proporcionó como entrada y ChatGPT generó una plantilla de informe.

Al automatizar el proceso de generación de informes, ChatGPT puede ayudar a ahorrar tiempo y reducir errores, mejorando así la eficiencia del proceso de pentesting. Además, ChatGPT puede ayudar a compartir conocimientos y mejores prácticas para pentesting, mejorando así la eficacia general de los esfuerzos de pentesting.

 

Automatización para pruebas de seguridad y herramientas independientes:
ChatGPT es una gran herramienta para la automatización de muchas tareas realizadas por un pentester, desde generar casos de prueba simples hasta realizar tareas tediosas, como la creación de extensiones de Burp Suite, plantillas de núcleos y herramientas independientes para la identificación de vulnerabilidades. también se puede automatizar.

1. Creación de plantillas de núcleos :
ChatGPT se puede usar para ayudar a automatizar la escritura de plantillas de núcleos al generar la estructura básica y el contenido de la plantilla y brindar sugerencias para reglas y variables adicionales basadas en la entrada del usuario.

Por ejemplo, un usuario podría proporcionar a ChatGPT una lista de URL o dominios y pedirle que genere una plantilla de núcleos para una vulnerabilidad o un problema de seguridad específicos. ChatGPT podría entonces generar la estructura básica de la plantilla, incluido el encabezado, la descripción y las reglas básicas, en función de su comprensión de la vulnerabilidad o el problema de seguridad.

Por ejemplo, se obtuvo una plantilla básica de núcleos para XXE como se muestra en la captura de pantalla a continuación. Al instalar la plantilla de núcleos, podemos ejecutar este archivo yaml para un objetivo vulnerable. Esto también se puede integrar con herramientas como Burp Suite, que mejora la calidad del pentesting.

2. Creación de extensiones de Burp Suite:
ChatGPT, un procesador de lenguaje natural tiene la capacidad de escribir código para extensiones personalizadas de Burp Suite. Las extensiones de Burp Suite generalmente están escritas en Java, Python o Ruby. Se pueden generar fragmentos de código para diferentes partes de su extensión de Burp Suite, como el manejo de sesiones, la modificación de solicitudes y respuestas, el análisis de datos y más.

Como probador de penetración, esta capacidad de ChatGPT sería un gran beneficio, ya que ayudaría a reducir los esfuerzos manuales.

Como ejemplo, comenzamos con la automatización de un ataque XSS mediante la inyección de cargas útiles XSS en todos los puntos de inserción de una solicitud. Este código se integró con éxito con Burp Suite como una extensión. Cuando la extensión está habilitada, las cargas útiles se activarán durante el escaneo activo, como se muestra en la captura de pantalla.

3. Herramientas independientes:
ChatGPT puede ser útil para generar fragmentos de código para una herramienta independiente, lo que puede ayudar a comenzar a escribir código para su herramienta en el lenguaje de programación de su elección.
ChatGPT también puede brindar orientación sobre cómo usar las bibliotecas o las API si la herramienta independiente se basa en bibliotecas o API específicas.

Sin embargo, es importante tener en cuenta que el código generado por ChatGPT puede no ser siempre perfecto u optimizado, y puede requerir pruebas y refinamientos adicionales antes de usarse en entornos de producción.

Como se muestra, ChatGPT proporcionó un código de trabajo para una herramienta independiente que identifica vulnerabilidades como encabezados de seguridad faltantes, divulgación de información confidencial, etc., y el resultado es el que se muestra a continuación.

OSS y CVES:
ChatGPT puede resultarnos útil para comprender el contexto y las implicaciones de las vulnerabilidades en OSS. Puede ayudar a identificar la gravedad de la vulnerabilidad y brindar orientación sobre cómo mitigar el riesgo. Puede ayudar a evaluar la gravedad y el impacto de las vulnerabilidades en OSS. Puede proporcionar recomendaciones sobre la prioridad de parchear o actualizar el software afectado e identificar cualquier dependencia o conflicto potencial que deba abordarse.

Aquí hay un ejemplo en uno de los OSS con vulnerabilidades conocidas:

ChatGPT también puede ayudar a evaluar el riesgo que representa un CVE en particular. Puede proporcionar recomendaciones sobre la prioridad de parchear o actualizar el software afectado e identificar cualquier dependencia o conflicto potencial que deba abordarse. También puede dar datos de CVE que están presentes en un OSS con vulnerabilidades conocidas. Dado un CVE, ChatGPT tiene la información sobre el CVE como se muestra a continuación:

Otras áreas útiles de seguridad donde ChatGPT puede ser útil:

1. Análisis del código fuente:

ChatGPT se puede utilizar para la revisión del código fuente al analizar el código fuente de una aplicación e identificar posibles vulnerabilidades de seguridad.

ChatGPT también se puede usar para sugerir correcciones para vulnerabilidades identificadas al proporcionar sugerencias de cambios de código que mitigarían la vulnerabilidad. Además, el modelo se puede utilizar para priorizar las vulnerabilidades identificadas en función de su gravedad y su impacto potencial en la aplicación. ChatGPT puede identificar vulnerabilidades independientemente de los lenguajes de programación.

Como ejemplo, considere cualquier fragmento de código y solicite a ChatGPT que identifique las vulnerabilidades. En la captura de pantalla a continuación, ChatGPT analiza el código e identifica vulnerabilidades.

En la captura de pantalla a continuación, dado un código vulnerable, ChatGPT identifica las vulnerabilidades y también proporciona el código actualizado con posibles correcciones.

ChatGPT también puede evaluar la calidad del código en función de parámetros como Seguridad, Rendimiento, Mantenibilidad. En la siguiente captura de pantalla, se muestra un ejemplo de lo mismo.

2. DevSecOps:

DevSecOps se refiere a la integración de la seguridad en el proceso DevOps. Es importante tener en cuenta la seguridad en todo el proceso de CI/CD, desde las primeras etapas de desarrollo hasta la implementación y más allá.

Durante el proceso de desarrollo, ChatGPT se puede utilizar para ayudar en las revisiones de código, analizando el código en busca de posibles vulnerabilidades de seguridad y proporcionando sugerencias de soluciones. Esto permite a los desarrolladores detectar posibles problemas al principio del proceso de desarrollo, lo que reduce el riesgo de que se introduzcan vulnerabilidades en la aplicación.

Como ejemplo, cuando se le pidió que creara una canalización de CI/CD con varias herramientas integradas, ChatGPT proporcionó un script maravilloso para generar una canalización y también proporcionó pasos sobre cómo instalar e integrar cada herramienta en Jenkins.

3. Creación de extensiones de navegador:
otra característica interesante en ChatGPT es escribir fragmentos de código para extensiones de navegador personalizadas. Las extensiones de navegador personalizadas pueden ser una herramienta valiosa en el kit de herramientas de pentesting, lo que le permite automatizar tareas repetitivas, probar vulnerabilidades y documentar sus hallazgos de manera clara y concisa.

Uno de los códigos de extensión del navegador que se obtuvo de ChatGPT se muestra a continuación:

4. Creación de chatbots:

Al aprovechar las capacidades avanzadas de procesamiento de lenguaje de ChatGPT, los desarrolladores pueden crear un chatbot que pueda proporcionar respuestas oportunas y precisas a una amplia gama de consultas relacionadas con la seguridad y los recursos.

Para crear un chatbot de seguridad/recursos con ChatGPT, los desarrolladores primero pueden proporcionar al modelo una variedad de datos e información relacionados con la seguridad y los recursos, como políticas y procedimientos de seguridad, manuales de usuario y otra documentación relevante. Luego, el modelo puede analizar estos datos y generar un conjunto de respuestas a consultas y solicitudes comunes de los usuarios.

Como ejemplo, ChatGPT pudo crear un chatbot usando Python que proporciona los casos de prueba manuales que se pueden realizar para las 10 vulnerabilidades principales de OWASP.

5. Creación de algoritmos para la detección de actividades maliciosas:
ChatGPT se puede utilizar en combinación con técnicas de aprendizaje automático para construir modelos que puedan detectar actividades maliciosas. Puede ayudar a entrenar estos modelos al proporcionar grandes cantidades de datos e integrarse con herramientas de automatización de respuesta para tomar medidas contra actividades maliciosas automáticamente. Puede ayudar a bloquear el acceso, poner archivos en cuarentena y generar alertas a los equipos de seguridad.

Como ejemplo, se ha generado un algoritmo para la detección de actividades maliciosas mediante la lectura de archivos de registro.

Limitaciones de ChatGPT:
1. ChatGPT ha sido entrenado solo en conjuntos de datos limitados hasta el año 2021.
2. Solo puede proporcionar soluciones o asistencia, pero no puede realizar ni reemplazar la inteligencia humana.
3. No da respuestas precisas en todo momento.
4. Es mejor evitar divulgar información confidencial o ideas de patentes a ChatGPT, ya que podría causar problemas de derechos de autor.
5. Se recomienda no utilizar exactamente los mismos contenidos recuperados de ChatGPT, ya que podría generar problemas de licencia.

Conclusión :
En conclusión, ChatGPT es una herramienta valiosa para los pentesters que buscan mejorar su eficiencia y eficacia en varias áreas de su trabajo. Con sus capacidades de procesamiento de lenguaje natural, puede proporcionar rápidamente respuestas a consultas comunes, ofrecer información sobre posibles vulnerabilidades e incluso generar scripts personalizados para automatizar ciertas tareas. Además, su capacidad para aprender continuamente de nuevos datos y adaptarse a nuevos escenarios lo convierte en un recurso indispensable para los pentesters que desean mantenerse a la vanguardia de las amenazas emergentes.

Tanto si es un pentester experimentado como si acaba de empezar en el campo, ChatGPT es una excelente herramienta que puede ayudarlo a optimizar su flujo de trabajo, mejorar su precisión y, en última instancia, brindar mejores resultados a sus clientes. Al aprovechar el poder de esta avanzada tecnología de inteligencia artificial, puede llevar sus habilidades de pentesting al siguiente nivel y mantenerse a la vanguardia del panorama de seguridad en constante evolución.

Fuente: PenTest