Уеб инструменти, или от къде да започне един пентестер?

Продължаваме да разказваме за полезни инструменти за пентестъри. В новата статия ще разгледаме инструменти за анализ на сигурността на уеб приложения.

Нашият колега BeLove вече е правил подобна подборка преди около седем години. Интересно е да се види кои инструменти са запазили и укрепили позициите си, а кои са отстъпили на заден план и в момента се използват рядко.


Важно е да се отбележи, че тук попада и Burp Suite, но за него и полезните му плъгини ще има отделна публикация.

Съдържание:

• Amass
• Altdns
• aquatone
• MassDNS
• nsec3map
• Acunetix
• Dirsearch
• wfuzz
• ffuf
• gobuster
• Arjun
• LinkFinder
• JSParser
• sqlmap
• NoSQLMap
• oxml_xxe
• tplmap
• CeWL
• Weakpass
• AEM_hacker
• JoomScan
• WPScan

Amass

Amass — инструмент на Go за намиране и извличане на поддомейни на DNS и изграждане на карта на външната мрежа. Amass е проект на OWASP, създаден да покаже как организациите изглеждат в интернет от страна на наблюдателя. Имената на поддомените Amass получава по различни начини, а инструментът използва както рекурсивно търсене на поддомейни, така и търсене в открити източници.

За откриване на свързани мрежови сегменти и автономни системни номера, Amass използва IP адреси, получени по време на работа. Всичката намерена информация се използва за изграждане на мрежова карта.

Предимства:

• Техниките за събиране на информация включват:
  * DNS — търсене на поддомейни по речник, брутфорс на поддомейни, “умно” търсене с мутации на базата на намерените поддомейни, обратни DNS запитвания и търсене на DNS сървъри, на които е възможно да се направи запитване за трансфер на зона (AXFR);

  * Търсене в открити източници — Ask, Baidu, Bing, CommonCrawl, DNSDB, DNSDumpster, DNSTable, Dogpile, Exalead, FindSubdomains, Google, IPv4Info, Netcraft, PTRArchive, Riddler, SiteDossier, ThreatCrowd, VirusTotal, Yahoo;

  * Търсене в бази данни на TLS сертификати — Censys, CertDB, CertSpotter, Crtsh, Entrust;

  * Използване на API на търсачки — BinaryEdge, BufferOver, CIRCL, HackerTarget, PassiveTotal, Robtex, SecurityTrails, Shodan, Twitter, Umbrella, URLScan;

  * Търсене в интернет архиви: ArchiveIt, ArchiveToday, Arquivo, LoCArchive, OpenUKArchive, UKGovArchive, Wayback;

• Интеграция с Maltego;
• Предоставя най-пълно покритие на задачата за намиране на DNS поддомейни.

Минуси:

• Внимавайте с amass.netdomains — той ще се опита да свърже с всеки IP адрес в идентифицираната инфраструктура и да получи имена на домейни от обратни DNS запитвания и TLS сертификати. Това е „гласна“ техника, която може да разкрие разузнавателните ви действия в проучваната организация.
• Висока консумация на памет, може да консумира до 2 ГБ RAM при различни настройки, което няма да позволи стартирането на този инструмент в облака на евтина VDS.

Altdns

Altdns — инструмент на Python за съставяне на речници за перебор на DNS-поддомейни. Позволява генерирането на много варианти на поддомейни с помощта на мутации и перестановки. За целта се използват думи, които често се срещат в поддомейните (например: test, dev, staging), всички мутации и перестановки се прилагат към вече известни поддомейни, които могат да бъдат подадени на Altdns. На изхода получаваме списък с варианти на поддомейни, които могат да съществуват, и този списък след това може да бъде използван при DNS брутфорс.

Предимства:

• Добре работи с големи набори от данни.

aquatone

aquatone — по-рано беше по-известен като още един инструмент за търсене на поддомейни, но самият автор се отказа от това в полза на споменатия по-горе Amass. Сега aquatone е пренаписан на Go и е повече насочен към предварително разузнаване на уебсайтове. За целта aquatone преминава през посочените домейни и търси на тях уебсайтове на различни портове, след което събира всяка информация за сайта и прави скрийншот. Удобен е за бързо предварително разузнаване на уебсайтове, след което може да се изберат приоритетни цели за атака.

Предимства:

• На изхода създава група файлове и папки, които удобно могат да се използват при по-нататъшната работа с други инструменти:
  * HTML отчет с събраните скрийншотове и групирани по сходство заглавия на отговорите;

  * Файл с всички URL, на които са открити уебсайтове;

  * Файл със статистика и данни за страницата;

  * Папка с файлове, съдържащи заглавия на отговори от намерените цели;

  * Папка с файлове, съдържащи тялото на отговора от намерените цели;

  * Скриншоти на намерените уебсайтове;

• Поддържа работа с XML отчети от Nmap и Masscan;
• Използва headless Chrome/Chromium за рендериране на скрийншотове.

Минуси:

• Може да привлече вниманието на системи за откриване на намеси, затова изисква настройка.

Скриншотът е направен за една от старите версии на aquatone (v0.5.0), в която е реализирано търсене на DNS поддомейни. Старата версия може да бъде намерена на страницата с версии.

MassDNS

MassDNS — още един инструмент за търсене на DNS-поддомейни. Основната му разлика е, че прави DNS запитвания директно към множество различни DNS резолвери и го прави с значителна скорост.

Предимства:

• Бърз — способен да разрешава над 350 хиляди имена в секунда.

Минуси:

• MassDNS може да предизвика значителен товар на използваните DNS резолвери, което може да доведе до блокиране на тези сървъри или оплаквания към вашия доставчик. Освен това, това ще натовари много DNS сървъри на компанията, ако те имат такива и отговарят за домейните, които се опитвате да разрешите.
• Списъкът с резолвери в момента е остарял, но ако премахнете неработещите DNS резолвери и добавите нови известни — всичко ще бъде наред.

Скриншот на aquatone v0.5.0

nsec3map

nsec3map — инструмент на Python за получаване на пълен списък с домейни, защитени с DNSSEC.

Предимства:

• Бързо открива хостове в DNS зони с минимален брой заявки, ако зоната поддържа DNSSEC;
• Включва плъгин за John the Ripper, който може да се използва за хакване на получените хешове NSEC3.

Минуси:

• Много DNS грешки се обработват неправилно;
• Няма автоматично паралелизиране на обработката на NSEC записи — трябва ръчно да разделяте пространството на имена;
• Висока консумация на памет.

Acunetix

Acunetix — скенер за уеб уязвимости, автоматизиращ процеса за проверка на сигурността на уеб приложения. Тества приложението за наличието на SQL инжекции, XSS, XXE, SSRF и много други уеб уязвимости. Въпреки това, както всеки друг скенер на множество уеб уязвимости, не може да замени пентестера, тъй като не може да открие сложни вериги от уязвимости или уязвимости в логиката. Въпреки това, той покрива много различни уязвимости, включително различни CVE, за които пентестера може и да е забравил, затова е много удобен за освобождаване от рутинни проверки.

Предимства:

• Нисък процент на фалшиви сработвания;
• Резултатите могат да бъдат експортирани във вид на отчети;
• Извършва голямо количество проверки за различни уязвимости;
• Паралелно сканиране на няколко хоста.

Минуси:

• Няма алгоритъм за дедубликация (страниците с идентична функционалност в Acunetix ще бъдат считани за различни, тъй като водят до различни URL адреси), но разработчиците работят по въпроса;
• Требва да бъде инсталиран на отделен уеб сървър, което усложнява тестването на клиентски системи с връзка по VPN и използването на скенера в изолиран сегмент на локалната клиентска мрежа;
• Може да 'зашуми' анализирания сервис, например, изпращайки до формата за контакт на сайта твърде много атаки, което значително усложнява бизнес процесите;
• Това е проприетарно и, съответно, платено решение.

Dirsearch

Dirsearch — инструмент на Python за брутфорсинг на директории и файлове на уебсайтове.

Предимства:

• Може да различава истинските страници с "200 ОК" от страниците с "200 ОК", но с текста "страницата не е намерена";
• Идва с удобен речник, който има добър баланс между размер и ефективност на търсене. Съдържа стандартни пътеки, характерни за много CMS и технологични стекове;
• Свой формат на речника, който позволява постигане на добра ефективност и гъвкавост при перебора на файлове и директории;
• Удобен изход — обикновен текст, JSON;
• Умеят да правят throttling — пауза между заявките, което е жизненоважно за всяка по-слаба услуга.

Минуси:

• Разширенията трябва да се подават под формата на низ, което е неудобно, ако трябва да подадете много разширения наведнъж;
• За да използвате своя речник, трябва да го доработите до формата на речниците на Dirsearch за максимална ефективност.

wfuzz

wfuzz — Python фузер за уеб приложения. Вероятно един от най-известните уеб фузери. Принципът е прост: wfuzz позволява фузинг на всяко място в HTTP заявка, което дава възможност за фузинг на GET/POST параметри, HTTP заглавия, включително Cookies и други аутентификационни заглавия. В същото време е удобен и за прост брутфорс на директории и файлове, за което е необходим добър речник. Има и гъвкава система от филтри, с помощта на която можете да филтрирате отговорите от уебсайта по различни параметри, което позволява постигането на ефективни резултати.

Предимства:

• Многофункционален — модулна структура, събранието отнема няколко минути;
• Удобен механизъм за филтриране и фузинг;
• Можете да фузите всеки HTTP метод, както и всяко място в HTTP заявката.

Минуси:

• В стадий на разработка.

ffuf

ffuf — уеб фузер на Go, създаден по "образеца и подобието" на wfuzz, позволява брутинг на файлове, директории, URL пътеки, имена и стойности на GET/POST параметри, HTTP заглавия, включително заглавието Host за брутфорс на виртуални хостове. От своя събрат wfuzz се отличава с по-висока скорост и някои нови функции, например, подкрепя речници в формата на Dirsearch.

Предимства:

• Филтрите са подобни на филтрите на wfuzz, което позволява гъвкаво настройване на брутфорса;
• Позволява фузинг на стойности на HTTP заглавия, данни от POST заявки и различни части на URL, включително имена и стойности на GET параметри;
• Можете да посочите всеки HTTP метод.

Минуси:

• В стадий на разработка.

gobuster

gobuster — инструмент за Go за разузнаване, има два режима на работа. Първият се използва за брутфорс на файлове и директории на уебсайт, вторият — за перебор на DNS поддомените. Инструментът първоначално не поддържа рекурсивен брутфорс на файлове и директории, което, разбира се, спестява време, но от друга страна, брутфорсът на всеки нов крайна точка на уебсайта трябва да бъде стартиран отделно.

Предимства:

• Висока скорост на работа както за перебор на DNS поддомените, така и за брутфорс на файлове и директории.

Минуси:

• В текущата версия не поддържа задаване на HTTP заглавия;
• По подразбиране счита валидни само някои от HTTP статус кодовете (200, 204, 301, 302, 307).

Arjun

Arjun — инструмент за брутфорс на скрити HTTP параметри в GET/POST параметри, както и в JSON. Вградената речник съдържа 25 980 думи, които Ajrun проверява почти за 30 секунди. Фокусът е в това, че Ajrun не проверява всеки параметър поотделно, а проверява наведнъж ~1000 параметри и вижда дали отговорът се е променил. Ако отговорът се е променил, разделя тази 1000 параметри на две части и проверява коя от тези части влияе на отговора. Така с помощта на прост бинарен търсене се намира параметър или няколко скрити параметри, които са повлияли на отговора и, следователно, могат да съществуват.

Предимства:

• Висока скорост на работа благодарение на бинарното търсене;
• Поддръжка на GET/POST параметри, както и параметри под формата на JSON;

По подобен принцип работи и плъгинът за Burp Suite — param-miner, който също е много добър в търсенето на скрити HTTP параметри. Повече информация за него ще предоставим в предстоящата статия за Burp и неговите плъгини.

LinkFinder

LinkFinder — скрипт на Python за търсене на линкове в JavaScript файлове. Полезен е за намиране на скрити или забравени крайни точки/URL адреси в уеб приложение.

Предимства:

• Бърз;
• Има специален плъгин за Chrome, базиран на LinkFinder.

.

Минуси:

• Неправилен финален изход;
• Не анализира JavaScript динамично;
• Доста проста логика за търсене на линкове — ако JavaScript по някакъв начин е обфусциран, или линковете първоначално отсъстват и се генерират динамично, то не може да намери нищо.

JSParser

JSParser — скрипт на Python, който използва Tornado и JSBeautifier за анализ на относителни URL адреси от JavaScript файлове. Много полезен за откриване на AJAX заявки и съставяне на списък с API методи, с които взаимодейства приложението. Эфективно работи в комбинация с LinkFinder.

Предимства:

• Бързо парсване на JavaScript файлове.

sqlmap

sqlmap — вероятно, един от най-известните инструменти за анализ на уеб приложения. Sqlmap автоматизира търсенето и експлоатацията на SQL инжекции, работи с различни диалекти на SQL и предлага широка гама от техники, от простите инжекции до сложни времеви вектори за SQL инжекции. Освен това предлага множество техники за допълнителна експлоатация за различни СУБД, затова е полезен не само като скенер за SQL инжекции, а също така и като мощен инструмент за експлоатация на вече намерени SQL инжекции.

Предимства:

• Голямо количество различни техники и вектори;
• Нисък брой фалшиви сработвания;
• Множество възможности за точно настройване, различни техники, целева БД, tamper скриптове за заобикаляне на WAF;
• Възможност за създаване на дамп на изходящите данни;
• Много различни възможности за експлоатация, например, за някои БД — автоматично качване/изтегляне на файлове, получаване на възможност за изпълнение на команди (RCE) и други;
• Поддръжка на директно свързване с БД, използвайки данните, получени по време на атаката;
• Можете да подадете текстов файл с резултатите от работа на Burp — не е нужно ръчно да съставяте всички атрибути на командния ред.

Минуси:

• Трудно е да се персонализира, например, да се напишат собствени проверки заради оскъдната документация за това;
• Без съответните настройки извършва непълен набор от проверки, което може да доведе до заблуждения.

NoSQLMap

NoSQLMap — инструмент на Python за автоматизация на търсенето и експлоатацията на NoSQL инжекции. Удобно е да се използва не само в NoSQL бази данни, но и директно при одитиране на уеб приложения, използващи NoSQL.

Предимства:

• Както sqlmap, позволява не само да намира потенциална уязвимост, но и да проверява възможността за експлоатация за MongoDB и CouchDB.

Минуси:

• Не поддържа NoSQL за Redis, Cassandra, в това направление се разработва.

oxml_xxe

oxml_xxe — инструмент за вграждане на XXE XML експлойти в различни типове файлове, в които по някакъв начин се използва XML формат.

Предимства:

• Поддържа много разпространени формати, като DOCX, ODT, SVG, XML.

Минуси:

• Поддръжката на PDF, JPEG, GIF не е напълно реализирана;
• Създава само един файл. За решаване на този проблем можете да използвате инструмента docem, който може да създаде голямо количество файлове с payloads на различни места.

Гореспоменатите инструменти отлично се справят с тестването на XXE при зареждане на документи, съдържащи XML. Но не забравяйте, че XML форматите могат да се срещнат в много други случаи, например, XML може да се използва като формат на данни вместо JSON.

Следователно, препоръчваме да се обърне внимание на следния репо, съдържащ голямо количество разнообразни полезни натоварвания: PayloadsAllTheThings.

tplmap

tplmap — инструмент на Python за автоматично откриване и експлоатация на уязвимости за инжектиране на шаблони от страна на сървъра, има настройки и флагове, подобни на sqlmap. Използва различни техники и вектори, включително blind-инжекции, и има техники за изпълнение на код и зареждане/изтегляне на произволни файлове. Освен това, разполага с техники за десетки различни шаблонни двигатели и някои техники за търсене на инжекции на код, подобни на eval() в Python, Ruby, PHP и JavaScript. При успешно експлоатиране отваря интерактивна конзола.

Предимства:

• Голямо количество различни техники и вектори;
• Поддържа множество двигатели за рендериране на шаблони;
• Много техники за експлоатация.

CeWL

CeWL — генератор на речници на Ruby, създаден за извличане на уникални думи от определен уебсайт, минава по линковете на сайта на определена дълбочина. Съставеният речник с уникални думи може да се използва в бъдеще за брутфорс на пароли в услуги или брутфорс на файлове и директории на същия уебсайт, или за атака на получените хешове с помощта на hashcat или John the Ripper. Полезен е при съставянето на “целеви” списък с потенциални пароли.

Предимства:

• Лесен за употреба.

Минуси:

• Трябва да сте внимателни с дълбочината на търсене, за да не уловите излишен домейн.

Weakpass

Weakpass — услуга, съдържаща множество речници с уникални пароли. Изключително полезен за различни задачи, свързани с хакване на пароли, започвайки от прост онлайн брутфорс на акаунти в целевите услуги, до офлайн брутфорс на получените хешове с помощта на hashcat или John The Ripper. Съставлява около 8 милиарда пароли с дължина от 4 до 25 символа.

Предимства:

• Съдържа както специфични речници, така и речници с най-често срещаните пароли — можете да изберете конкретен речник в зависимост от вашите нужди;
• Речниците се обновяват и допълват с нови пароли;
• Речниците са подредени по ефективност. Можете да изберете опция както за бърз онлайн брутфорс, така и за задълбочено подбиране на пароли от обширен речник с последните изтичания;
• Има калкулатор, който показва времето за брутфорс на пароли на вашето оборудване.

В отделна група бихме искали да изведем инструментите за проверки на CMS: WPScan, JoomScan и AEM hacker.

AEM_hacker

AEM hacker — инструмент за откриване на уязвимости в приложения на Adobe Experience Manager (AEM).

Предимства:

• Може да разпознава AEM приложения от списъка с URL адреси, подадени му на вход;
• Съдържа скриптове за получаване на RCE чрез качване на JSP шел и експлоатиране на SSRF.

JoomScan

JoomScan — инструмент на Perl за автоматизация на открития на уязвимости при разгръщане на Joomla CMS.

Предимства:

• Способен е да открива недостици в конфигурацията и проблеми с администраторските настройки;
• Изброява версиите на Joomla и свързаните с тях уязвимости, аналогично и за индивидуални компоненти;
• Съдържа повече от 1000 експлойта за компоненти на Joomla;
• Извежда финални отчети в текстов и HTML формат.

WPScan

WPScan — инструмент за сканиране на сайтове на WordPress, разполага с уязвимости както за самия движок WordPress, така и за някои плъгини.

Предимства:

• Способен е да изброява не само небезопасни WordPress плъгини и теми, но и да получава списък с потребители и TimThumb файлове;
• Може да провежда брутфорс атаки на WordPress сайтове.

Минуси:

• Без съответните настройки извършва непълен набор от проверки, което може да доведе до заблуждения.

По принцип различни хора предпочитат различни инструменти за работа: всички те са добри по свой собствен начин, и това, което харесва на един човек, може да не се хареса на друг. Ако смятате, че сме пренебрегнали някаква добра утилита — пишете за нея в коментарите!

Източник: habr.com