Уеб инструменти или откъде трябва да започне pentester?

Продължаваме говорете за полезни инструменти за pentesters. В новата статия ще разгледаме инструментите за анализ на сигурността на уеб приложенията.

Наш колега BeLove Вече съм правил нещо подобно компилация преди около седем години. Интересно е да се види кои инструменти са запазили и укрепили позициите си и кои са избледнели на заден план и сега се използват рядко.


Имайте предвид, че това също включва Burp Suite, но ще има отделна публикация за него и неговите полезни плъгини.

Съдържание:

• събирам
• Altdns
• акватон
• MassDNS
• nsec3map
• Acunetix
• Директно търсене
• wfuzz
• фъф
• разбойник
• Arjun
• LinkFinder
• JSParser
• sqlmap
• NoSQLMap
• oxml_xxe
• tplmap
• CeWL
• Слаб пропуск
• AEM_хакер
• JoomScan
• WPScan

събирам

събирам - Go инструмент за търсене и изброяване на DNS поддомейни и картографиране на външната мрежа. Amass е проект на OWASP, предназначен да покаже как изглеждат организациите в Интернет на външен човек. Amass получава имена на поддомейни по различни начини; инструментът използва както рекурсивно изброяване на поддомейни, така и търсения с отворен код.

За да открие взаимосвързани мрежови сегменти и номера на автономна система, Amass използва IP адреси, получени по време на работа. Цялата намерена информация се използва за изграждане на мрежова карта.

плюсове:

• Техниките за събиране на информация включват:
  * DNS - речниково търсене на поддомейни, bruteforce поддомейни, интелигентно търсене с използване на мутации въз основа на намерени поддомейни, обратни DNS заявки и търсене на DNS сървъри, където е възможно да се направи заявка за трансфер на зона (AXFR);

  * Търсене с отворен код - Ask, Baidu, Bing, CommonCrawl, DNSDB, DNSDumpster, DNSTable, Dogpile, Exalead, FindSubdomains, Google, IPv4Info, Netcraft, PTRArchive, Riddler, SiteDossier, ThreatCrowd, VirusTotal, Yahoo;

  * Търсене в бази данни с TLS сертификати - Censys, CertDB, CertSpotter, Crtsh, Entrust;

  * Използване на API на търсачката - BinaryEdge, BufferOver, CIRCL, HackerTarget, PassiveTotal, Robtex, SecurityTrails, Shodan, Twitter, Umbrella, URLScan;

  * Търсене в интернет уеб архиви: ArchiveIt, ArchiveToday, Arquivo, LoCArchive, OpenUKArchive, UKGovArchive, Wayback;

• Интеграция с Maltego;
• Осигурява най-пълното покритие на задачата за търсене на DNS поддомейни.

против:

• Бъдете внимателни с amass.netdomains - той ще се опита да се свърже с всеки IP адрес в идентифицираната инфраструктура и да получи имена на домейни от обратни DNS търсения и TLS сертификати. Това е техника с "висок профил", тя може да разкрие вашите разузнавателни дейности в разследваната организация.
• Висока консумация на памет, може да консумира до 2 GB RAM при различни настройки, което няма да ви позволи да стартирате този инструмент в облака на евтин VDS.

Altdns

Altdns — Python инструмент за компилиране на речници за изброяване на DNS поддомейни. Позволява ви да генерирате много варианти на поддомейни, като използвате мутации и пермутации. За това се използват думи, които често се срещат в поддомейни (например: test, dev, staging), всички мутации и пермутации се прилагат към вече известни поддомейни, които могат да бъдат изпратени на входа Altdns. Резултатът е списък с варианти на поддомейни, които могат да съществуват, и този списък по-късно може да се използва за груба сила на DNS.

плюсове:

• Работи добре с големи набори от данни.

акватон

акватон - преди беше по-известен като друг инструмент за търсене на поддомейни, но самият автор се отказа от това в полза на гореспоменатия Amass. Сега aquatone е пренаписан в Go и е по-насочен към предварително разузнаване на уебсайтове. За да направи това, aquatone преминава през посочените домейни и търси уебсайтове на различни портове, след което събира цялата информация за сайта и прави екранна снимка. Удобен за бързо предварително разузнаване на уебсайтове, след което можете да изберете приоритетни цели за атаки.

плюсове:

• Резултатът създава група от файлове и папки, които са удобни за използване при по-нататъшна работа с други инструменти:
  * HTML отчет със събрани екранни снимки и заглавия на отговорите, групирани по сходство;

  * Файл с всички URL адреси, където са намерени уебсайтове;

  * Файл със статистика и данни за страницата;

  * Папка с файлове, съдържащи заглавки на отговор от намерени цели;

  * Папка с файлове, съдържащи тялото на отговора от намерени цели;

  * Екранни снимки на намерени уебсайтове;

• Поддържа работа с XML отчети от Nmap и Masscan;
• Използва безглавен Chrome/Chromium за изобразяване на екранни снимки.

против:

• Може да привлече вниманието на системите за откриване на проникване, така че изисква конфигурация.

Екранната снимка е направена за една от старите версии на aquatone (v0.5.0), в която е въведено търсене на DNS поддомейни. По-стари версии могат да бъдат намерени на страница за издания.

MassDNS

MassDNS е друг инструмент за намиране на DNS поддомейни. Основната му разлика е, че прави DNS заявки директно към много различни DNS резолвери и го прави със значителна скорост.

плюсове:

• Бърз - способен да разрешава повече от 350 хиляди имена в секунда.

против:

• MassDNS може да причини значително натоварване на използваните DNS резолвери, което може да доведе до забрани на тези сървъри или оплаквания до вашия интернет доставчик. В допълнение, това ще натовари голямо DNS сървърите на компанията, ако ги има и ако отговарят за домейните, които се опитвате да разрешите.
• Списъкът с резолвери в момента е остарял, но ако изберете повредените DNS резолвери и добавите нови известни, всичко ще бъде наред.

Екранна снимка на aquatone v0.5.0

nsec3map

nsec3map е инструмент на Python за получаване на пълен списък на домейни, защитени с DNSSEC.

плюсове:

• Бързо открива хостове в DNS зони с минимален брой заявки, ако поддръжката на DNSSEC е активирана в зоната;
• Включва плъгин за John the Ripper, който може да се използва за кракване на получените NSEC3 хешове.

против:

• Много DNS грешки не се обработват правилно;
• Няма автоматично паралелизиране на обработката на NSEC записи - трябва да разделите пространството от имена ръчно;
• Висока консумация на памет.

Acunetix

Acunetix — скенер за уеб уязвимости, който автоматизира процеса на проверка на сигурността на уеб приложенията. Тества приложението за SQL инжекции, XSS, XXE, SSRF и много други уеб уязвимости. Въпреки това, като всеки друг скенер, разнообразието от уеб уязвимости не замества pentester, тъй като не може да намери сложни вериги от уязвимости или уязвимости в логиката. Но покрива много различни уязвимости, включително различни CVE, за които пентестърът може да е забравил, така че е много удобно да ви освободи от рутинни проверки.

плюсове:

• Ниско ниво на фалшиви положителни резултати;
• Резултатите могат да бъдат експортирани като отчети;
• Извършва голям брой проверки за различни уязвимости;
• Паралелно сканиране на множество хостове.

против:

• Няма алгоритъм за дедупликация (Acunetix ще счита страници, които са идентични по функционалност, за различни, тъй като те водят до различни URL адреси), но разработчиците работят по него;
• Изисква инсталиране на отделен уеб сървър, което усложнява тестването на клиентски системи с VPN връзка и използването на скенера в изолиран сегмент от локалната клиентска мрежа;
• Изследваната услуга може да създаде шум, например, като изпрати твърде много вектори на атака към формата за контакт на сайта, като по този начин значително усложни бизнес процесите;
• Това е патентовано и съответно не безплатно решение.

Директно търсене

Директно търсене — инструмент на Python за грубо форсиране на директории и файлове на уебсайтове.

плюсове:

• Може да различи истински страници „200 OK“ от страници „200 OK“, но с текст „страницата не е намерена“;
• Предлага се с удобен речник, който има добър баланс между размер и ефективност на търсенето. Съдържа стандартни пътища, общи за много CMS и технологични стекове;
• Собствен речников формат, който ви позволява да постигнете добра ефективност и гъвкавост при изброяване на файлове и директории;
• Удобен изход - обикновен текст, JSON;
• Може да прави throttling - пауза между заявките, което е жизненоважно за всяка слаба услуга.

против:

• Разширенията трябва да се предават като низ, което е неудобно, ако трябва да подадете много разширения наведнъж;
• За да използвате вашия речник, той ще трябва да бъде леко модифициран във формата на речника на Dirsearch за максимална ефективност.

wfuzz

wfuzz - Python уеб приложение fuzzer. Вероятно един от най-известните уеб фазери. Принципът е прост: wfuzz ви позволява да фазирате всяко място в HTTP заявка, което прави възможно фазите на GET/POST параметри, HTTP заглавки, включително Cookie и други заглавки за удостоверяване. В същото време е удобен и за проста груба сила на директории и файлове, за което ви трябва добър речник. Освен това има гъвкава филтърна система, с която можете да филтрирате отговорите от уебсайта според различни параметри, което ви позволява да постигнете ефективни резултати.

плюсове:

• Многофункционален - модулна структура, сглобяването отнема няколко минути;
• Удобен механизъм за филтриране и размиване;
• Можете да фазирате всеки HTTP метод, както и всяко място в HTTP заявка.

против:

• В процес на разработка.

фъф

фъф — уеб fuzzer в Go, създаден по „образ и подобие“ на wfuzz, ви позволява да обработвате файлове, директории, URL пътища, имена и стойности на GET/POST параметри, HTTP заглавки, включително заглавката на хоста за груба сила на виртуални хостове. wfuzz се различава от брат си по по-висока скорост и някои нови функции, например поддържа речници във формат Dirsearch.

плюсове:

• Филтрите са подобни на филтрите wfuzz, те ви позволяват гъвкаво да конфигурирате brute force;
• Позволява ви да размивате стойности на HTTP заглавки, данни за POST заявка и различни части от URL адреса, включително имена и стойности на GET параметри;
• Можете да посочите произволен HTTP метод.

против:

• В процес на разработка.

разбойник

разбойник — инструмент Go за разузнаване, има два режима на работа. Първият се използва за груба форсиране на файлове и директории на уебсайт, вторият се използва за груба форсиране на DNS поддомейни. Инструментът първоначално не поддържа рекурсивно изброяване на файлове и директории, което, разбира се, спестява време, но от друга страна грубата сила на всяка нова крайна точка на уебсайта трябва да се стартира отделно.

плюсове:

• Висока скорост на работа както при грубо търсене на DNS поддомейни, така и при грубо търсене на файлове и директории.

против:

• Текущата версия не поддържа настройка на HTTP заглавки;
• По подразбиране само някои от HTTP кодовете за състояние (200,204,301,302,307) се считат за валидни.

Arjun

Arjun - инструмент за груба сила на скрити HTTP параметри в GET/POST параметри, както и в JSON. Вграденият речник има 25 980 думи, които Ajrun проверява за почти 30 секунди. Номерът е, че Ajrun не проверява всеки параметър поотделно, а проверява ~1000 параметъра наведнъж и вижда дали отговорът се е променил. Ако отговорът се е променил, той разделя тези 1000 параметъра на две части и проверява коя от тези части влияе на отговора. По този начин, използвайки просто двоично търсене, се открива параметър или няколко скрити параметъра, които са повлияли на отговора и следователно може да съществуват.

плюсове:

• Висока скорост поради двоично търсене;
• Поддръжка на GET/POST параметри, както и параметри под формата на JSON;

Плъгинът за Burp Suite работи на подобен принцип - param-миньор, който също е много добър при намирането на скрити HTTP параметри. Ще ви разкажем повече за него в предстояща статия за Burp и неговите добавки.

LinkFinder

LinkFinder — Python скрипт за търсене на връзки в JavaScript файлове. Полезно за намиране на скрити или забравени крайни точки/URL адреси в уеб приложение.

плюсове:

• Бърз;
• Има специален плъгин за Chrome, базиран на LinkFinder.

.

против:

• Неудобно крайно заключение;
• Не анализира JavaScript във времето;
• Доста проста логика за търсене на връзки - ако JavaScript по някакъв начин е обфускиран или връзките първоначално липсват и се генерират динамично, тогава той няма да може да намери нищо.

JSParser

JSParser е скрипт на Python, който използва Торнадо и JSBeautifier за анализиране на относителни URL адреси от JavaScript файлове. Много полезно за откриване на AJAX заявки и съставяне на списък с API методи, с които приложението взаимодейства. Работи ефективно във връзка с LinkFinder.

плюсове:

• Бърз анализ на JavaScript файлове.

sqlmap

sqlmap е може би един от най-известните инструменти за анализ на уеб приложения. Sqlmap автоматизира търсенето и работата с SQL инжекции, работи с няколко SQL диалекта и има огромен брой различни техники в своя арсенал, вариращи от директни кавички до сложни вектори за базирани на времето SQL инжекции. В допълнение, той има много техники за по-нататъшно използване за различни СУБД, така че е полезен не само като скенер за SQL инжекции, но и като мощен инструмент за използване на вече намерени SQL инжекции.

плюсове:

• Голям брой различни техники и вектори;
• Нисък брой фалшиви положителни резултати;
• Много опции за фина настройка, различни техники, целева база данни, тампер скриптове за заобикаляне на WAF;
• Възможност за създаване на изходен дъмп;
• Много различни оперативни възможности, например за някои бази данни - автоматично зареждане/разтоварване на файлове, получаване на възможност за изпълнение на команди (RCE) и други;
• Поддръжка за директна връзка с базата данни, използвайки данни, получени по време на атака;
• Можете да изпратите текстов файл с резултатите от Burp като вход - няма нужда да съставяте ръчно всички атрибути на командния ред.

против:

• Трудно е да персонализирате, например, да напишете някои свои чекове поради оскъдната документация за това;
• Без подходящите настройки той извършва непълен набор от проверки, което може да бъде подвеждащо.

NoSQLMap

NoSQLMap — инструмент на Python за автоматизиране на търсенето и използването на NoSQL инжекции. Удобно е да се използва не само в NoSQL бази данни, но и директно при одит на уеб приложения, които използват NoSQL.

плюсове:

• Подобно на sqlmap, той не само намира потенциална уязвимост, но също така проверява възможността за нейната експлоатация за MongoDB и CouchDB.

против:

• Не поддържа NoSQL за Redis, Cassandra, тече разработка в тази посока.

oxml_xxe

oxml_xxe — инструмент за вграждане на XXE XML експлойти в различни типове файлове, които използват XML формата под някаква форма.

плюсове:

• Поддържа много често срещани формати като DOCX, ODT, SVG, XML.

против:

• Поддръжката на PDF, JPEG, GIF не е напълно внедрена;
• Създава само един файл. За да разрешите този проблем, можете да използвате инструмента дочем, който може да създаде голям брой файлове с полезен товар на различни места.

Горните помощни програми вършат чудесна работа при тестване на XXE при зареждане на документи, съдържащи XML. Но също така не забравяйте, че манипулатори на XML формат могат да бъдат намерени в много други случаи, например XML може да се използва като формат на данни вместо JSON.

Затова ви препоръчваме да обърнете внимание на следното хранилище, което съдържа голям брой различни полезни товари: PayloadsAllTheThings.

tplmap

tplmap - инструмент на Python за автоматично идентифициране и използване на уязвимости на инжектиране на шаблони от страна на сървъра; има настройки и флагове, подобни на sqlmap. Използва няколко различни техники и вектори, включително сляпо инжектиране, и също има техники за изпълнение на код и зареждане/качване на произволни файлове. В допълнение, той има в арсенала си техники за дузина различни машини за шаблони и някои техники за търсене на eval()-подобни инжекции на код в Python, Ruby, PHP, JavaScript. При успех отваря интерактивна конзола.

плюсове:

• Голям брой различни техники и вектори;
• Поддържа много машини за изобразяване на шаблони;
• Много оперативни техники.

CeWL

CeWL - генератор на речници в Ruby, създаден да извлича уникални думи от определен уебсайт, следва връзките на сайта до определена дълбочина. Компилираният речник от уникални думи може по-късно да се използва за груба сила на пароли за услуги или груба сила на файлове и директории на същия уебсайт, или за атака на получените хешове с помощта на hashcat или John the Ripper. Полезно при съставяне на „целеви“ списък с потенциални пароли.

плюсове:

• Лесен за използване.

против:

• Трябва да внимавате с дълбочината на търсене, за да не прихванете допълнителен домейн.

Слаб пропуск

Слаб пропуск - услуга, съдържаща много речници с уникални пароли. Изключително полезен за различни задачи, свързани с кракване на пароли, вариращи от проста онлайн груба сила на акаунти в целеви услуги, до офлайн груба сила на получени хешове, използващи hashcat или Джон Изкормвача. Той съдържа около 8 милиарда пароли с дължина от 4 до 25 знака.

плюсове:

• Съдържа както конкретни речници, така и речници с най-често срещаните пароли - можете да изберете конкретен речник за вашите собствени нужди;
• Речниците се актуализират и допълват с нови пароли;
• Речниците са сортирани по ефективност. Можете да изберете опцията както за бърза онлайн груба сила, така и за подробен избор на пароли от обемен речник с най-новите течове;
• Има калкулатор, който показва времето, необходимо за груба обработка на пароли на вашето оборудване.

Бихме искали да включим инструменти за CMS проверки в отделна група: WPScan, JoomScan и AEM хакер.

AEM_хакер

AEM хакер е инструмент за идентифициране на уязвимости в приложенията на Adobe Experience Manager (AEM).

плюсове:

• Може да идентифицира AEM приложения от списъка с URL адреси, изпратени на неговия вход;
• Съдържа скриптове за получаване на RCE чрез зареждане на JSP обвивка или използване на SSRF.

JoomScan

JoomScan — Perl инструмент за автоматизиране на откриването на уязвимости при внедряване на Joomla CMS.

плюсове:

• Може да открива грешки в конфигурацията и проблеми с административни настройки;
• Изброява версиите на Joomla и свързаните с тях уязвимости, подобно на отделните компоненти;
• Съдържа повече от 1000 експлойта за Joomla компоненти;
• Извеждане на финални отчети в текстови и HTML формати.

WPScan

WPScan - инструмент за сканиране на WordPress сайтове, той има уязвимости в своя арсенал както за самия двигател на WordPress, така и за някои добавки.

плюсове:

• Възможност за изброяване не само на опасни WordPress добавки и теми, но и получаване на списък с потребители и TimThumb файлове;
• Може да извършва груби атаки на WordPress сайтове.

против:

• Без подходящите настройки той извършва непълен набор от проверки, което може да бъде подвеждащо.

Като цяло различните хора предпочитат различни инструменти за работа: всички те са добри по свой начин и това, което един човек харесва, може изобщо да не подхожда на друг. Ако смятате, че несправедливо сме пренебрегнали някоя добра помощна програма, напишете за това в коментарите!

Източник: www.habr.com