🥇Wapiti — самостоятелно проверка на уебсайтове за уязвимости

В миналото статии Ние разказахме за Nemesida WAF Free — безплатен инструмент за защита на сайтове и API от хакерски атаки, а в тази статия решихме да направим обзор на популярния скенер за уязвимости Wapiti.

Сканирането на сайта за уязвимости е необходима мярка, която, в комбинация с анализа на изходния код, позволява да се оцени нивото на неговата защита от заплахи за компрометиране. Сканирането на уеб ресурса може да се извърши с помощта на специализиран инструментариум.

Nikto, W3af (написан на Python 2.7, поддръжката на който е приключила) или Arachni (от февруари вече не се поддържа) — най-популярните решения, представени в безплатния сегмент. Разбира се, има и други, например, Wapiti, на който ще се спрем.

Wapiti работи с следните типове уязвимости:

разкритие на файл (локални и отдалечени, fopen, readfile);
инжекции (PHP / JSP / ASP / SQL инжекции и XPath инжекции);
XSS (междинно скриптиране) (отразена и постоянна);
разпознаване и изпълнение на команди (eval (), system (), passthru ());
CRLF инжекции (разделение на HTTP отговори, фиксация на сесия);
XXE (внедряване на XML външна сущност);
SSRF (фалшиве запитвания на страната на сървъра);
използване на известни потенциално опасни файлове (благодарение на базата данни на Nikto);
слаби конфигурации на .htaccess, които могат да бъдат заобиколени;
наличие на резервни файлове, разкриващи конфиденциална информация (разкритие на изходен код);
Shellshock;
отворени пренасочвания;
нестандартни HTTP методи, които могат да бъдат разрешени (PUT).

Възможности:

поддръжка на прокси HTTP, HTTPS и SOCKS5;
аутентификация чрез няколко метода: Basic, Digest, Kerberos или NTLM;
възможност за ограничаване на областта на сканиране (домейн, папка, страница, URL адрес);
автоматично премахване на един от параметрите в URL;
няколко предпазни мерки срещу безкрайни цикли на сканиране (пример: ifor, ограничение на стойностите за параметъра);
възможност за задаване на приоритет за разглеждане на URL адреси (дори и ако не са в областта на сканиране);
възможност за изключване на някои URL адреси от сканиране и атаки (например: URL за излизане);
импорт на cookies (получаване на тях с помощта на инструмента wapiti-getcookie);
възможност за активиране / деактивиране на проверката на SSL сертификати;
възможност за извличане на URL от JavaScript (много прост JS интерпретатор);
взаимодействие с HTML5;
няколко опции за управление поведението и ограниченията на crawler’a;
установяване на максимално време за процеса на сканиране;
добавяне на определени конфигурируеми HTTP заглавия или настройка на потребителски User-Agent.

Допълнителни възможности:

създаване на отчети за уязвимости в различни формати (HTML, XML, JSON, TXT);
пауза и възобновяване на сканирането или атаката (механизъм сесия с използване на бази данни SQLite3);
подсветка в терминала за маркиране на уязвимостите;
различни нива на логване;
бърз и лесен начин за активиране / деактивиране на модули за атака.

Инсталиране

Актуалната версия на Wapiti може да бъде инсталирана по два начина:

свалете изходния код от официалния сайта и стартирайте инсталационния скрипт след предварителна инсталация на Python3;
чрез командата pip3 install wapiti3.

След това Wapiti ще бъде готов за работа.

Работа с инструмента

За демонстрация на Wapiti ще използваме специално подготвен стенд sites.vulns.pentestit.ru (вътрешен ресурс), съдържащ различни уязвимости (Инжекция, XSS, LFI/RFI) и други недостатъци на уеб приложения.

Информацията е предоставена единствено за ознакомителни цели. Не нарушавайте закона!

Основната команда за стартиране на скенера:

# wapiti -u <target> <options>

При това има доста подробна справка с огромно количество опции за стартиране, например:

—scope — област на приложение
Ако заедно с URL за сканиране уточните параметър scope, можете да регулирате областта на сканиране на сайта, указвайки както отделна страница, така и всички страници, които могат да бъдат намерени на сайта.

-s и -x — параметри за добавяне или премахване на конкретни URL адреси. Тези параметри са полезни, когато е необходимо да се добави или премахне конкретен URL адрес в процеса на сканиране.

—skip — уточненият параметър с този ключ ще бъде сканиран, но няма да бъде атакуван. Полезно е, ако има някакви опасни параметри, които е по-добре да се изключат при сканирането.

—verify-ssl — включване или изключване на проверката на сертификата.
Сканерът Wapiti е модулен. Обаче, за да стартирате конкретни модули, от тези, които автоматично се свързват по време на работата на скенера, трябва да използвате ключ -m и да изброите нужните чрез запетая. Ако не се използва ключът, по подразбиране ще работят всички модули. В най-простия вариант това ще изглежда по следния начин:

# wapiti -u http://sites.vulns.pentestit.ru/ -m sql,xss,xxe

Този пример използване означава, че ще използваме само модулите SQL, XSS и XXE при сканиране на целта. Освен това, можем да филтрираме работата на модулите в зависимост от необходимия метод. Например -m “xss: get, blindsql: post, xxe: post”. В такъв случай модулът xss ще се прилага за заявките, предавани чрез метода GET, а модулът blibdsql — за POST-заявките и т.н. Между другото, ако някой модул, който е бил включен в списъка, не се е нуждаел по време на сканирането или работи много бавно, можете да пропуснете настоящия модул, като натиснете комбинацията Ctrl+C и изберете съответната опция в интерактивното меню.

Wapiti поддържа предаване на заявки чрез прокси-сървър, използвайки ключа -p и удостоверяване на целевия сайт чрез параметър -a. Може също така да посочите тип удостоверяване: Basiс, Digest, Kerberos и NTLM. За последните два може да е необходимо инсталирането на допълнителни модули. Освен това, можете да вмъквате в заявките всякакви заглавия (включително произволен User-Agent) и още много.

За използване на удостоверяване можете да използвате инструмента wapiti-getcookie. С него формулираме бисквитки, които Wapiti ще използва при сканирането. Формулирането бисквитки се извършва с помощта на командата:

# wapiti-getcookie -u http://sites.vulns.pentestit.ru/login.php -c cookie.json

В процеса на работа в интерактивен режим отговаряме на въпроси и посочваме необходимата информация като: име, парола и др.:

На изхода получаваме файл във формат JSON. Друг вариант — да добавим всякаква необходима информация чрез параметър -d:

# wapiti-getcookie - http://sites.vulns.pentestit.ru/login.php -c cookie.json -d "username=admin&password=admin&enter=submit"

Резултатът ще бъде аналогичен:

При разглеждане на основната функционалност на скенера, крайна заявка за провеждане на тестването на уеб приложението в нашия случай стана:

# wapiti --level 1 -u http://sites.vulns.pentestit.ru/ -f html -o /tmp/vulns.html -m all --color -с cookie.json --scope folder --flush-session -A 'Pentestit Scans' -p http://proxy.office.pentestit.ru:3128

където сред другите параметри:

-f и -o — формат и път за запазване на отчета;

-m — свързване на всички модули — не се препоръчва, тъй като ще се отрази на времето за тестване и размера на отчета;

—color — да се осветят откритите уязвимости в зависимост от тяхната критичност според версията на Wapiti;

-c — използване на файл с бисквитки, генериран с помощта на wapiti-getcookie;

—scope — избор на цел за атака. Избирайки опцията folder ще се сканира и атакува всяка URL адрес, започвайки от основния. Основният URL адрес трябва да има наклонена черта (без име на файл);

—flush-session — позволява извършване на повторно сканиране, при което не се вземат предвид предишните резултати;

-A — собствен User-Agent;

-p — адрес на прокси-сървъра, ако е необходим.

Няколко думи за доклада

Резултатът от сканирането е представен под формата на подробен доклад за всички открити уязвимости в HTML страница, в разбираем и удобен за восприятие вид. В доклада ще бъдат посочени категориите и броя на откритите уязвимости, тяхното описание, заявки, команди за curl и съвети как да бъдат затворени. За удобство на навигацията в заглавията на категориите ще бъде добавена връзка, чрез която можете да преминете към тях:

Съществен недостатък на доклада е липсата на карта на уеб приложението, без която няма да е ясно дали всички адреси и параметри са били анализирани. Също така съществува риск от фалшиви сработвания. В нашия случай в доклада фигурира "архивни файлове" и "потенциално опасни файлове". Тяхното количество не отговаря на действителността, тъй като подобни файлове на сървъра няма:

Възможно е неправилно работещите модули да бъдат коригирани с времето. Също така недостатък на доклада може да се счита липсата на оцветяване на откритите уязвимости (в зависимост от тяхната критичност) или поне тяхното разделение по категории. Единственото, как можем косвено да разберем за критичността на откритата уязвимост — е да приложим параметъра —color при сканирането и тогава откритите уязвимости ще бъдат оцветени в различни цветове:

Но в самия доклад подобно оцветяване не е предвидено.

Уязвимости

SQLi

Скannerът частично се справи с търсенето на SQLi. При търсене на SQL уязвимости на страници, където не е необходима автентикация, няма проблеми:

Не успя да намери уязвимост на страниците, достъпни само след автентикация, дори с използването на валидни бисквитки, тъй като най-вероятно след успешна автентикация ще се извърши "изход от сесията" и бисквитки ще станат невалидни. Ако функцията за деавтентикация беше изпълнена като отделен скрипт, отговарящ за обработката на тази процедура, тогава можеше изцяло да бъде изключена чрез параметъра -x, и по този начин да се предотврати нейното сработване. В противен случай не може да се изключи нейната обработка. Това е проблем не на конкретния модул, а на инструмента като цяло, но заради този нюанс не успяхме да открием няколко инжекции в закритата област на ресурса.

XSS

С определената задача сканерът отлично се справи и намери всички подготвени уязвимости:

LFI/RFI

Сканиращият инструмент откри всички вградени уязвимости:

Въпреки лъжливите сработвания и пропуските в уязвимостите, Wapiti, като безплатен инструмент, показва доста добри резултати. В крайна сметка е важно да се признае, че сканиращият инструмент е наистина мощен, гъвкав и многофункционален, а също така и безплатен, затова заслужава да бъде използван, помагайки на администраторите и разработчиците да получат основна информация за защитата на уеб приложението.

Останете здрави и защитени!

Източник: habr.com