ওয়াপিটি - আপনার নিজের থেকে দুর্বলতার জন্য সাইটটি পরীক্ষা করা

শেষে প্রবন্ধ আমরা কথা বলেছি Nemesida WAF বিনামূল্যে - হ্যাকার আক্রমণ থেকে ওয়েবসাইট এবং API গুলিকে রক্ষা করার জন্য একটি বিনামূল্যের সরঞ্জাম এবং এটিতে আমরা একটি জনপ্রিয় দুর্বলতা স্ক্যানার পর্যালোচনা করার সিদ্ধান্ত নিয়েছি ওয়াপিটি.

দুর্বলতার জন্য একটি ওয়েবসাইট স্ক্যান করা একটি প্রয়োজনীয় পরিমাপ, যা সোর্স কোডের বিশ্লেষণের সাথে মিলিত, আপনাকে আপসের হুমকির বিরুদ্ধে এর নিরাপত্তার মাত্রা মূল্যায়ন করতে দেয়। আপনি বিশেষ সরঞ্জাম ব্যবহার করে একটি ওয়েব সম্পদ স্ক্যান করতে পারেন।

Nikto, W3af (পাইথন 2.7-এ লেখা, যা আর সমর্থিত নয়) বা Arachni (ফেব্রুয়ারি থেকে আর সমর্থিত নয়) হল ফ্রি সেগমেন্টে উপস্থাপিত সবচেয়ে জনপ্রিয় সমাধান। অবশ্যই, অন্যরা আছে, উদাহরণস্বরূপ, ওয়াপিটি, যা আমরা ফোকাস করার সিদ্ধান্ত নিয়েছি।

Wapiti নিম্নলিখিত ধরনের দুর্বলতা নিয়ে কাজ করে:

• ফাইল সম্প্রসারণ (স্থানীয় এবং দূরবর্তী, ফোপেন, রিডফাইল);
• ইনজেকশন (PHP / JSP / ASP / SQL ইনজেকশন এবং XPath ইনজেকশন);
• XSS (ক্রস সাইট স্ক্রিপ্টিং) (প্রতিফলিত এবং অবিরাম);
• কমান্ডের সনাক্তকরণ এবং সঞ্চালন (eval(), সিস্টেম(), পাসস্ট্রু());
• CRLF ইনজেকশন (HTTP রেসপন্স স্প্লিটিং, সেশন ফিক্সেশন);
• XXE (XML বাহ্যিক সত্তা) এম্বেডিং;
• SSRF (সার্ভার সাইড অনুরোধ জালিয়াতি);
• পরিচিত সম্ভাব্য বিপজ্জনক ফাইলের ব্যবহার (নিক্টো ডাটাবেসকে ধন্যবাদ);
• দুর্বল .htaccess কনফিগারেশন যা বাইপাস করা যেতে পারে;
• ব্যাকআপ ফাইলের উপস্থিতি যা গোপনীয় তথ্য প্রকাশ করে (সোর্স কোডের প্রকাশ);
• বাক্রোধ;
• খোলা পুনঃনির্দেশ;
• অ-মানক HTTP পদ্ধতি যা সমাধান করা যেতে পারে (PUT)।

বৈশিষ্ট্য:

• HTTP, HTTPS এবং SOCKS5 প্রক্সি সমর্থন;
• বিভিন্ন পদ্ধতি ব্যবহার করে প্রমাণীকরণ: বেসিক, ডাইজেস্ট, কারবেরোস বা NTLM;
• স্ক্যানিং এলাকা সীমিত করার ক্ষমতা (ডোমেন, ফোল্ডার, পৃষ্ঠা, URL);
• ইউআরএলের একটি প্যারামিটারের স্বয়ংক্রিয় অপসারণ;
• অন্তহীন স্ক্যান লুপগুলির বিরুদ্ধে একাধিক সতর্কতা (উদাহরণ: ifor, একটি প্যারামিটারের জন্য মান সীমিত করা);
• ইউআরএল পরীক্ষা করার জন্য একটি অগ্রাধিকার সেট করার ক্ষমতা (এমনকি যদি তারা স্ক্যানিং এলাকায় না থাকে);
• স্ক্যানিং এবং আক্রমণ থেকে কিছু URL বাদ দেওয়ার ক্ষমতা (উদাহরণস্বরূপ: URL লগআউট);
• কুকি আমদানি করুন (এগুলি wapiti-getcookie টুল ব্যবহার করে পান);
• SSL শংসাপত্র যাচাইকরণ সক্রিয়/নিষ্ক্রিয় করার ক্ষমতা;
• জাভাস্ক্রিপ্ট থেকে ইউআরএল বের করার ক্ষমতা (খুব সাধারণ জেএস ইন্টারপ্রেটার);
• HTML5 এর সাথে মিথস্ক্রিয়া;
• ক্রলার আচরণ এবং বিধিনিষেধ পরিচালনার জন্য বিভিন্ন বিকল্প;
• স্ক্যানিং প্রক্রিয়ার জন্য সর্বোচ্চ সময় নির্ধারণ;
• কিছু কাস্টম HTTP হেডার যোগ করা বা একটি কাস্টম ব্যবহারকারী-এজেন্ট সেট আপ করা।

অতিরিক্ত বৈশিষ্ট্য:

• বিভিন্ন ফরম্যাটে দুর্বলতা প্রতিবেদন তৈরি করা (HTML, XML, JSON, TXT);
• একটি স্ক্যান বা আক্রমণ বিরতি এবং পুনরায় শুরু করা (SQLite3 ডাটাবেস ব্যবহার করে সেশন প্রক্রিয়া);
• দুর্বলতা হাইলাইট করতে টার্মিনালে ব্যাকলাইটিং;
• লগিং বিভিন্ন স্তরের;
• আক্রমণ মডিউল সক্রিয়/নিষ্ক্রিয় করার একটি দ্রুত এবং সহজ উপায়।

বিন্যাস

ওয়াপিটির বর্তমান সংস্করণটি 2 উপায়ে ইনস্টল করা যেতে পারে:

• অফিসিয়াল থেকে উৎস ডাউনলোড করুন সাইট এবং ইনস্টলেশন স্ক্রিপ্ট চালান, পূর্বে Python3 ইনস্টল করা আছে;
• pip3 install wapiti3 কমান্ড ব্যবহার করে।

এর পরে, ওয়াপিটি যেতে প্রস্তুত হবে।

টুল দিয়ে কাজ করা

ওয়াপিটির কাজ প্রদর্শনের জন্য, আমরা একটি বিশেষভাবে প্রস্তুত স্ট্যান্ড সাইট ব্যবহার করব.

তথ্য শুধুমাত্র তথ্যগত উদ্দেশ্যে প্রদান করা হয়. আইন ভঙ্গ করবেন না!

স্ক্যানার চালু করার জন্য মৌলিক কমান্ড:

# wapiti -u <target> <options>

একই সময়ে, প্রচুর সংখ্যক লঞ্চ বিকল্পগুলির সাথে বেশ বিস্তারিত সহায়তা রয়েছে, উদাহরণস্বরূপ:

--স্কোপ - আবেদনের স্থান
আপনি যদি ক্রল URL-এর সাথে স্কোপ প্যারামিটার নির্দিষ্ট করেন, তাহলে আপনি একটি একক পৃষ্ঠা এবং সাইটে পাওয়া যায় এমন সমস্ত পৃষ্ঠা উভয়ই নির্দিষ্ট করে সাইটের ক্রলিং এলাকা সামঞ্জস্য করতে পারেন।

-s и -x - নির্দিষ্ট URL যোগ বা সরানোর বিকল্প। ক্রল প্রক্রিয়া চলাকালীন আপনাকে একটি নির্দিষ্ট URL যোগ করতে বা সরাতে হলে এই বিকল্পগুলি উপযোগী।

-- এড়িয়ে যান — এই কী সহ নির্দিষ্ট প্যারামিটার স্ক্যান করা হবে, কিন্তু আক্রমণ করা হবে না। স্ক্যান করার সময় বাদ দেওয়া কোনো বিপজ্জনক প্যারামিটার থাকলে এটি কার্যকর।

--verify-ssl — শংসাপত্র যাচাইকরণ সক্ষম বা অক্ষম করুন।
ওয়াপিটি স্ক্যানারটি মডুলার। যাইহোক, স্ক্যানার চলাকালীন স্বয়ংক্রিয়ভাবে সংযুক্ত হওয়া সহ নির্দিষ্ট মডিউলগুলি চালু করতে, আপনাকে -m সুইচটি ব্যবহার করতে হবে এবং কমা দ্বারা আলাদা করে আপনার প্রয়োজনের তালিকা করতে হবে। যদি কী ব্যবহার না করা হয়, তাহলে সমস্ত মডিউল ডিফল্টরূপে কাজ করবে। সহজতম সংস্করণে এটি দেখতে এরকম হবে:

# wapiti -u http://sites.vulns.pentestit.ru/ -m sql,xss,xxe

এই ব্যবহারের উদাহরণের অর্থ হল লক্ষ্য স্ক্যান করার সময় আমরা শুধুমাত্র SQL, XSS এবং XXE মডিউল ব্যবহার করব। উপরন্তু, আপনি পছন্দসই পদ্ধতির উপর নির্ভর করে মডিউলগুলির অপারেশন ফিল্টার করতে পারেন। উদাহরণ স্বরূপ -m "xss: get, blindsql: post, xxe: post". এই ক্ষেত্রে, মডিউল XSS GET পদ্ধতি এবং মডিউল ব্যবহার করে প্রেরিত অনুরোধগুলিতে প্রযোজ্য হবে blibdsql - অনুরোধ পোস্ট করতে, ইত্যাদি যাইহোক, যদি তালিকায় অন্তর্ভুক্ত কিছু মডিউল স্ক্যান করার সময় প্রয়োজন না হয় বা খুব বেশি সময় নেয়, তাহলে Ctrl+C সমন্বয় টিপে আপনি ইন্টারেক্টিভ মেনুতে সংশ্লিষ্ট আইটেমটি নির্বাচন করে বর্তমান মডিউলটি ব্যবহার করা এড়িয়ে যেতে পারেন।

ওয়াপিটি একটি কী ব্যবহার করে প্রক্সির মাধ্যমে অনুরোধ পাস করা সমর্থন করে -p এবং প্যারামিটারের মাধ্যমে লক্ষ্য সাইটে প্রমাণীকরণ -a. আপনি প্রমাণীকরণের ধরনও নির্দিষ্ট করতে পারেন: মৌলিক, পরিপাক করা, কার্বারোস и করা NTLM. শেষ দুটি অতিরিক্ত মডিউল ইনস্টলেশন প্রয়োজন হতে পারে. উপরন্তু, আপনি অনুরোধে যেকোনো শিরোনাম সন্নিবেশ করতে পারেন (স্বেচ্ছাচারী সহ ব্যবহারিক দূত) এবং আরো অনেক কিছু.

প্রমাণীকরণ ব্যবহার করতে আপনি টুলটি ব্যবহার করতে পারেন wapiti-getcookie. এর সাহায্যে আমরা গঠন করি মিষ্ট রূটি, যা ওয়াপিটি স্ক্যান করার সময় ব্যবহার করবে। গঠন মিষ্ট রূটি কমান্ড দিয়ে সম্পন্ন:

# wapiti-getcookie -u http://sites.vulns.pentestit.ru/login.php -c cookie.json

ইন্টারেক্টিভভাবে কাজ করার সময়, আমরা প্রশ্নের উত্তর দিই এবং প্রয়োজনীয় তথ্য যেমন লগইন, পাসওয়ার্ড ইত্যাদি নির্দেশ করি:

আউটপুট হল JSON ফরম্যাটে একটি ফাইল। আরেকটি বিকল্প হল প্যারামিটারের মাধ্যমে সমস্ত প্রয়োজনীয় তথ্য যোগ করা -d:

# wapiti-getcookie - http://sites.vulns.pentestit.ru/login.php -c cookie.json -d "username=admin&password=admin&enter=submit"

ফলাফল অনুরূপ হবে:

স্ক্যানারের প্রধান কার্যকারিতা বিবেচনা করার সময়, আমাদের ক্ষেত্রে ওয়েব অ্যাপ্লিকেশন পরীক্ষা করার জন্য চূড়ান্ত অনুরোধ ছিল:

# wapiti --level 1 -u http://sites.vulns.pentestit.ru/ -f html -o /tmp/vulns.html -m all --color -с cookie.json --scope folder --flush-session -A 'Pentestit Scans' -p http://proxy.office.pentestit.ru:3128

যেখানে অন্যান্য পরামিতিগুলির মধ্যে:

-f и -o - রিপোর্ট সংরক্ষণের জন্য বিন্যাস এবং পথ;

-m — সমস্ত মডিউল সংযোগ করা বাঞ্ছনীয় নয়, কারণ পরীক্ষার সময় এবং রিপোর্টের আকার প্রভাবিত করবে;

--রঙ — ওয়াপিটি নিজেই অনুযায়ী তাদের সমালোচনার উপর নির্ভর করে পাওয়া দুর্বলতাগুলি হাইলাইট করুন;

-c - এর সাথে একটি ফাইল ব্যবহার করে মিষ্ট রূটি, ব্যবহার করে উত্পন্ন wapiti-getcookie;

--স্কোপ - আক্রমণের জন্য একটি লক্ষ্য নির্বাচন করা। একটি বিকল্প নির্বাচন করা হচ্ছে ফোল্ডারের প্রতিটি ইউআরএল ক্রল এবং আক্রমণ করা হবে, বেস এক থেকে শুরু করে। বেস ইউআরএলে অবশ্যই একটি ফরোয়ার্ড স্ল্যাশ থাকতে হবে (কোন ফাইলের নাম নেই);

--ফ্লাশ-সেশন — বারবার স্ক্যান করার অনুমতি দেয়, যেখানে পূর্ববর্তী ফলাফলগুলি বিবেচনায় নেওয়া হবে না;

-A - নিজের ব্যবহারিক দূত;

-p - প্রক্সি সার্ভার ঠিকানা, প্রয়োজন হলে।

রিপোর্ট সম্পর্কে একটু

স্ক্যানিং ফলাফলটি এইচটিএমএল পৃষ্ঠা বিন্যাসে পাওয়া সমস্ত দুর্বলতার উপর একটি বিশদ প্রতিবেদন আকারে, একটি পরিষ্কার এবং সহজে-পঠন ফর্মে উপস্থাপন করা হয়। প্রতিবেদনে পাওয়া দুর্বলতাগুলির বিভাগ এবং সংখ্যা, তাদের বিবরণ, অনুরোধ, আদেশগুলি নির্দেশ করবে কার্ল এবং কিভাবে সেগুলি বন্ধ করতে হয় তার টিপস। নেভিগেশনের সুবিধার জন্য, বিভাগের নামের সাথে একটি লিঙ্ক যোগ করা হবে, যেখানে ক্লিক করে আপনি এটিতে যেতে পারেন:

প্রতিবেদনের একটি উল্লেখযোগ্য অসুবিধা হল একটি ওয়েব অ্যাপ্লিকেশন মানচিত্রের অনুপস্থিতি, যা ছাড়া সমস্ত ঠিকানা এবং পরামিতি বিশ্লেষণ করা হয়েছে কিনা তা পরিষ্কার হবে না। এছাড়াও মিথ্যা ইতিবাচক সম্ভাবনা আছে. আমাদের ক্ষেত্রে, প্রতিবেদনে "ব্যাকআপ ফাইল" এবং "সম্ভাব্য বিপজ্জনক ফাইল" অন্তর্ভুক্ত রয়েছে। তাদের সংখ্যা বাস্তবতার সাথে সঙ্গতিপূর্ণ নয়, যেহেতু সার্ভারে এমন কোনও ফাইল ছিল না:

সম্ভবত ভুলভাবে কাজ করা মডিউল সময়ের সাথে সংশোধন করা হবে। প্রতিবেদনের আরেকটি অপূর্ণতা হ'ল পাওয়া দুর্বলতাগুলির রঙের অভাব (তাদের সমালোচনার উপর নির্ভর করে), বা কমপক্ষে তাদের বিভাগে বিভক্ত করা। আমরা পরোক্ষভাবে পাওয়া দুর্বলতার সমালোচনা বুঝতে পারার একমাত্র উপায় হল প্যারামিটার ব্যবহার করা --রঙ স্ক্যান করার সময়, এবং তারপরে পাওয়া দুর্বলতাগুলি বিভিন্ন রঙে রঙিন হবে:

কিন্তু রিপোর্ট নিজেই এই ধরনের রঙ প্রদান করে না।

দুর্বলতা

এসকিউএল

স্ক্যানারটি SQLi অনুসন্ধানের সাথে আংশিকভাবে মোকাবিলা করেছে। যখন প্রমাণীকরণের প্রয়োজন নেই এমন পৃষ্ঠাগুলিতে এসকিউএল দুর্বলতাগুলি অনুসন্ধান করার সময়, কোন সমস্যা দেখা দেয় না:

শুধুমাত্র প্রমাণীকরণের পরে অ্যাক্সেসযোগ্য পৃষ্ঠাগুলিতে একটি দুর্বলতা খুঁজে পাওয়া সম্ভব ছিল না, এমনকি বৈধ ব্যবহার করেও মিষ্ট রূটি, যেহেতু সম্ভবত সফল প্রমাণীকরণের পরে, তাদের সেশন "লগ আউট" হবে এবং মিষ্ট রূটি অবৈধ হয়ে যাবে। যদি ডিঅথোরাইজেশন ফাংশনটি এই পদ্ধতিটি প্রক্রিয়াকরণের জন্য দায়ী একটি পৃথক স্ক্রিপ্ট হিসাবে প্রয়োগ করা হয়, তাহলে -x প্যারামিটারের মাধ্যমে এটি সম্পূর্ণরূপে বাদ দেওয়া সম্ভব হবে এবং এর ফলে এটিকে ট্রিগার করা থেকে রোধ করা সম্ভব হবে। অন্যথায়, এটির প্রক্রিয়াকরণ বাদ দেওয়া সম্ভব হবে না। এটি একটি নির্দিষ্ট মডিউলের সাথে সমস্যা নয়, তবে সামগ্রিকভাবে সরঞ্জামটির সাথে, তবে এই সংক্ষিপ্ততার কারণে, একটি বদ্ধ সংস্থান এলাকায় বেশ কয়েকটি ইনজেকশন সনাক্ত করা সম্ভব হয়নি।

পদ্ধতি এটা XSS

স্ক্যানারটি প্রদত্ত কাজটি নিখুঁতভাবে মোকাবেলা করেছে এবং সমস্ত প্রস্তুত দুর্বলতা খুঁজে পেয়েছে:

এলএফআই/আরএফআই

স্ক্যানার সমস্ত অন্তর্নিহিত দুর্বলতা খুঁজে পেয়েছে:

সাধারণভাবে, মিথ্যা ইতিবাচক এবং অনুপস্থিত দুর্বলতা থাকা সত্ত্বেও, ওয়াপিটি, একটি বিনামূল্যের সরঞ্জাম হিসাবে, বেশ ভাল পারফরম্যান্স ফলাফল দেখায়। যাই হোক না কেন, এটি স্বীকৃত যে স্ক্যানারটি বেশ শক্তিশালী, নমনীয় এবং বহুমুখী এবং সবচেয়ে গুরুত্বপূর্ণভাবে এটি বিনামূল্যে, তাই এটি অ্যাডমিনিস্ট্রেটর এবং ডেভেলপারদের একটি ওয়েবের নিরাপত্তা স্থিতি সম্পর্কে প্রাথমিক তথ্য পেতে সাহায্য করার জন্য ব্যবহার করার অধিকার রয়েছে। আবেদন

সুস্থ এবং সুরক্ষিত থাকুন!

উত্স: www.habr.com