Veebitööriistad, või kuidas alustada pentestimist?

Jätkame kasulikest tööriistadest pentesterile. Uues artiklis käsitleme veebirakenduste turvaseisundi analüüsi tööriistu.

Meie kolleeg BeLove on juba sarnase valiku umbes seitse aastat tagasi. Huvitav on vaadata, millised tööriistad on oma positsioone säilitanud ja tugevdanud ning millised on taandunud ja praegu harva kasutuses.


Oluline on märkida, et siia kuulub ka Burp Suite, kuid tema ja tema kasulike pistikprogrammide kohta tuleb eraldi publikatsioon.

Sisu:

• Amass
• Altdns
• aquatone
• MassDNS
• nsec3map
• Acunetix
• Dirsearch
• wfuzz
• ffuf
• gobuster
• Arjun
• LinkFinder
• JSParser
• sqlmap
• NoSQLMap
• oxml_xxe
• tplmap
• CeWL
• Weakpass
• AEM_hacker
• JoomScan
• WPScan

Amass

Amass — Go keeles tööriist DNS-i alamdomeenide otsimiseks ja ülesehitamiseks ning välise võrgu kaardistamiseks. Amass on OWASP-i projekt, mis on loodud selleks, et näidata, kuidas näevad organisatsioonid Internetis välja väljastpoolt. Amass saab alamdomeenide nimesid erinevate meetodite abil, tööriist kasutab nii rekurssiivset alamdomeenide ülesehitamist kui ka otsingut avatud allikates.

Amass kasutab töötamise ajal saadud IP-aadresse, et tuvastada omavahel seotud võrgu segmente ja autonoomsete süsteemide numbreid. Kõik leitud teave kasutatakse võrgu kaardi koostamiseks.

Plussid:

• Teabe kogumise tehnikad hõlmavad järgmist:
  * DNS — alamdomeenide sõnastiku kaudu järkjärguline otsimine, alamdomeenide bruteforce, "nutikas" otsimine, mis põhineb leitud alamdomeenidel, pöördsuhted DNS-i päringud ja DNS-serverite otsimine, kus võib teha tsooni ülekande päringu (AXFR);

  * Otsimine avatud allikatest — Ask, Baidu, Bing, CommonCrawl, DNSDB, DNSDumpster, DNSTable, Dogpile, Exalead, FindSubdomains, Google, IPv4Info, Netcraft, PTRArchive, Riddler, SiteDossier, ThreatCrowd, VirusTotal, Yahoo;

  * TLS-sertifikaatide andmebaaside otsimine — Censys, CertDB, CertSpotter, Crtsh, Entrust;

  * Otsingumootorite API-de kasutamine — BinaryEdge, BufferOver, CIRCL, HackerTarget, PassiveTotal, Robtex, SecurityTrails, Shodan, Twitter, Umbrella, URLScan;

  * Veebiarhiivide otsing: ArchiveIt, ArchiveToday, Arquivo, LoCArchive, OpenUKArchive, UKGovArchive, Wayback;

• Integreerimine Maltego;
• Tagab kõige täiustatumate DNS-alamdomeenide otsingute ülesande katvuse.

Miinused:

• Ole ettevaatlik amass.netdomainide osas — see üritab pöörduda iga IP-aadressiga tuvastatud infrastruktuuris ja saada domeeninimesid tagasi DNS-päringutest ja TLS-sertifikaatidest. See on 'mürarikas' tehnika, mis võib paljastada teie luuretoimingud uuritavas organisatsioonis.
• Kõrge mälutarbimine, võib tarbida kuni 2 GB RAM erinevates seadistustes, mis ei luba selle tööriista käivitamist odavas VDS-is.

Altdns

Altdns — Python'i tööriist DNS-alasuboonuste rikka sõnaraamatu koostamiseks. See võimaldab genereerida mitmesuguseid alamsuboonuseid mutatsioonide ja permutatsioonide abil. Selleks kasutatakse sõnu, mis esinevad sageli alamsuboonustes (nt: test, dev, staging), kõik mutatsioonid ja permutatsioonid rakendatakse juba tuntud alamsuboonustele, mida saab edastada Altdns-ile. Tulemuseks on loetelu alamsuboonuste variatsioonidest, mis võivad eksisteerida ja mida saab hiljem kasutada DNS-bruutforce'i korral.

Plussid:

• Töötab hästi suurte andmehulga korral.

aquatone

aquatone — oli varem tuntud kui veel üks alamdomeenide otsingu tööriist, kuid autor loobus sellest ülemineku tõttu eespool mainitud Amassile. Praegu on aquatone ümber kirjutatud Go-s ja on rohkem suunatud veebisaitide eelnevaks uurimiseks. Selleks läbib aquatone antud domeene ning otsib nende pealt veebisaite erinevatel portidel, kogudes seejärel kogu teabe saidi kohta ja tehes ekraanipilte. See on mugav kiireks eelneva uurimiseks veebisaitide üle, mille järel saab valida prioriteetsed sihtmärgid rünnakute jaoks.

Plussid:

• Loodud failide ja kaustade grupp, mida on mugav kasutada edasiseks tööks teiste tööriistadega:
  * HTML-raport koos kogutud ekraanipiltidega ja sarnasuse alusel rühmitatud vastuste pealkirjadega;

  * Fail kõigi URL-ide kohta, kust leiti veebisaite;

  * Fail statistika ja lehekülje andmetega;

  * Kaust failidega, milles on leitud sihtkohtadelt vastuste pealkirjad;

  * Kaust failidega, milles on leitud sihtkohtadelt vastuste sisu;

  * Ekraanipildid leitud veebisaitidest;

• Toetab XML-aruandeid Nmapilt ja Masscanilt;
• Kasutab headless Chrome'i/Chromium'i ekraanipiltide renderdamiseks.

Miinused:

• Võib tõmmata tähelepanu sissetungide avastamise süsteemidele, seega nõuab seadistamist.

Kuvatõmmis on tehtud ühe vanema versiooni aquatone'ist (v0.5.0), kus oli rakendatud DNS-alamdomeenide otsing. Vanemad versioonid on saadaval lehelt väljalaske lehelt.

MassDNS

MassDNS — veel üks DNS-alamdomeenide otsingu tööriist. Selle peamine erinevus seisneb selles, et see teeb DNS-päringuid otse mitmetele erinevatele DNS-resolveritele ja teeb seda märkimisväärse kiirusiga.

Plussid:

• Kiire — suudab lahendada rohkem kui 350 tuhat nime sekundis.

Miinused:

• MassDNS võib põhjustada märkimisväärset koormust kasutatavatele DNS-resolveritele, mis võib viia nende serverite blokeerimiseni või teie teenusepakkujale kaebuste esitamisse. Lisaks sellele tekitab see suure koormuse ettevõtte DNS-serveritele, kui need olemas on ja kui nad vastutavad domeenide eest, mida te proovite lahendada.
• Resolverite loetelu on praegu aegunud, kuid kui eemaldada mitte töötavad DNS-resolverid ja lisada uusi tuntud — siis peaks kõik korras olema.

Kuvatõmmis aquatone v0.5.0

nsec3map

nsec3map — Pythonis loodud tööriist, et saada täielikku nimekirja DNSSEC-iga kaitstud domeenidest.

Plussid:

• Tuvastab DNS-tsoonides hoste kiiresti minimaalsete päringute arvuga, kui tsoonis on aktiveeritud DNSSEC tugi;
• John the Ripper'i plugina, mida saab kasutada NSEC3 räside purustamiseks;

Miinused:

• Paljusid DNS-olid töödeldakse valesti;
• NSEC-kirjete töötlemise automaatset paralleelset jagamist ei toimu — nimetusruum tuleb käsitsi jagada;
• Suure koguse mälu tarbimine.

Acunetix

Acunetix — veebivulnerabiliteetide skanner, mis automatiseerib veebirakenduste turvakontrolli. Testib rakendust SQL-i süstimise, XSS-i, XXE, SSRF-i ja paljude teiste veebivulnerabiliteetide osas. Siiski, nagu iga teinegi veebivulnerabiliteetide skanner, ei asenda see pentesterit, kuna keerulisi haavatavuste ahelat või loogika haavatavusi ei suuda leida. Selle asemel katab see palju erinevaid haavatavusi, sealhulgas erinevaid CVE-sid, millele pentester võis isegi unustada, seega on see väga mugav igapäevaste kontrollide vabastamiseks.

Plussid:

• Madala valehäire taseme;
• Tulemusi saab eksportida aruannete vormis;
• Teostab suurt hulka kontrollimisi erinevate haavatavuste osas;
• Mitme hosti samaaegne skaneerimine.

Miinused:

• Dedublikaatsiooni algoritmi ei ole (Acunetix peab funktsionaalselt sarnaseid lehti erinevateks, kuna neil on erinevad URL-id), kuid arendajad töötavad selle kallal;
• Nõuab installimist eraldi veebiserverisse, mis raskendab kliendi süsteemide testimist VPN-iga ühenduses ja skanneri kasutamist isoleeritud kohalikus kliendivõrgus;
• Võib uuritud teenust "mürgitada", näiteks saata saidi kontaktivormi liiga palju ründesuuniseid, muutes seeläbi äri protsesse oluliselt keerulisemaks;
• On patenteeritud ja seega mitte tasuta lahendus.

Dirsearch

Dirsearch — Pythonis loodud tööriist kataloogide ja failide bruutimine veebilehtedel.

Plussid:

• Suudab eristada tõelisi "200 OK" lehti lehtedest "200 OK" koos tekstiga "lehte ei leitud";
• Tuleb koos mugava sõnastikuga, millel on hea tasakaal suuruse ja otsingu efektiivsuse vahel. Sisaldab standardteid, mis on iseloomulikud paljudele CMS-idele ja tehnoloogia virnadele;
• Oma sõnastiku formaat, mis võimaldab saavutada head efektiivsust ja paindlikkust failide ja kataloogide uurimisel;
• Mugav väljund — lihtne tekst, JSON;
• Toimib korrektse throttling'u — küsimuste vahelised pausid, mis on eluliselt vajalikud igasuguste nõrkade teenuste jaoks.

Miinused:

• Laiendusi tuleb edastada stringina, mis on ebamugav, kui tuleb edastada korraga palju laiendusi;
• Selleks, et kasutada oma sõnaraamatut, tuleb see veidi töötada sõnaraamatute Dirsearch formaati maksimaalse efektiivsuse saavutamiseks.

wfuzz

wfuzz — Python-poodide veebiäpid. Tõenäoliselt üks tuntumaid veebipoodide tööriistu. Põhimõte on lihtne: wfuzz võimaldab poodida igasuguses HTTP-päringus, mis annab võimaluse poodida GET/POST parameetreid, HTTP-pealkirju, sealhulgas Küpsiseid ja muid autentimise pealkirju. Samuti on mugav ka lihtsaks kaustade ja failide bruteforsimiseks, mille jaoks on vajalik hea sõnaraamat. Samuti on tal paindlik filtrite süsteem, millega saab filtreerida kodulehe vastuseid erinevate parameetrite järgi, mis võimaldab saavutada efektiivseid tulemusi.

Plussid:

• Mitmeotstarbeline — modulaarne struktuur, kokku panemine võtab paar minutit;
• Mugav filtreerimise ja fuzzing'u mehhanism;
• Võib fuzzida igasuguseid HTTP-meetodeid ja igasuguseid kohti HTTP-päringus.

Miinused:

• Arendusetapis.

ffuf

ffuf — Go keeles loodud veebifuzzing tööriist, mis on valmistatud wfuzz-i „kujunduse ja sarnase järgi”, võimaldab brutforsida faile, kaustu, URL teid, parameetrite GET/POST nimetusi ja väärtusi, HTTP-pealkirju, sealhulgas Host pealkirja virtuaalsete hostide brutforsimiseks. Erinevalt oma eelkäijast wfuzzist pakub see suuremat kiirus ja mõningaid uusi funktsioone, näiteks toetab see Dirsearch formaadis sõnaraamatuid.

Plussid:

• Filtrid sarnanevad wfuzz filtritele ja võimaldavad brutforsingu paindlikku seadistamist;
• Lubab fuzzida HTTP-pealkirjade väärtusi, POST-päringute andmeid ja erinevaid URL osi, sealhulgas GET-parameetrite nimesid ja väärtusi;
• Võib määrata mis tahes HTTP meetodi.

Miinused:

• Arendusetapis.

gobuster

gobuster — Go keeles loodud uurimistööriist, millel on kaks töörežiimi. Esimene on mõeldud failide ja kaustade brutforsimiseks veebisaidil, teine DNS-alamdomeenide genereerimiseks. Tööriist ei toeta algselt failide ja kaustade rekurssiivset genereerimist, mis loomulikult säästab aega, kuid teisest küljest tuleb igat uut lõpp-punkti brutforsida eraldi.

Plussid:

• Suurepärane kiirus nii DNS-alamdomeenide genereerimisel kui ka failide ja kaustade brutforsimisel.

Miinused:

• Praeguses versioonis ei toetata HTTP-pealkirjade seadistamist;
• Vaikimisi loetakse kehtivateks ainult teatud HTTP-olekukoode (200, 204, 301, 302, 307).

Arjun

Arjun — tööriist varjatud HTTP-parameetrite ründamiseks GET/POST-parameetrites ning JSONis. Sisseehitatud sõnastik sisaldab 25 980 sõna, mille Ajrun kontrollib peaaegu 30 sekundiga. Oluline on see, et Ajrun ei kontrolli iga parameetrit eraldi, vaid analüüsib korraga ~1000 parameetrit ja vaatab, kas vastus muutub. Kui vastus on muutunud, jaotab ta selle 1000 parameetrit kaheks osaks ja kontrollib, milline neist osadest mõjutab vastust. Nii leitakse ebamugava binaarse otsingu abil parameeter või mitu varjatud parameetrit, mis mõjutasid vastust ja võivad seega eksisteerida.

Plussid:

• Kõrge töökiirus binaarse otsingu tõttu;
• GET/POST-parameetrite ja JSON-vormingus parameetrite tugi;

Sarnase printsiibi järgi töötab ka Burp Suite'i plugin — param-miner, mis on samuti väga hea varjatud HTTP-parameetrite otsimisel. Räägime sellest lähemalt tulevas artiklis Burpist ja selle pistikprogrammidest.

LinkFinder

LinkFinder — Pythonis kirjutatud skript linkide leidmiseks JavaScripti failides. Kasulik varjatud või unustatud lõpp-punktide/URL-ide leidmiseks veebirakenduses.

Plussid:

• Kiire;
• Chrome'i jaoks on olemas spetsiaalne LinkFinderi põhine pistikprogramm.

.

Miinused:

• Ebamugav lõppväljund;
• Ei analüüsi JavaScripti dünaamiliselt;
• Linkideotsimise loogika on üsna lihtne — kui JavaScript on mingil viisil obfuskeeritud või lingid puuduvad ja genereeritakse dünaamiliselt, siis ei suuda see midagi leida.

JSParser

JSParser — Pythoni skript, mis kasutab Tornado ja JSBeautifier relatiivsete URL-ide analüüsimiseks JavaScripti failidest. Väga kasulik AJAX-päringute tuvastamiseks ja API meetodite loendi koostamiseks, millega rakendus suhtleb. Tõhusalt töötab LinkFinderiga koos.

Plussid:

• Kiire JavaScripti failide analüüs.

sqlmap

sqlmap — tõenäoliselt üks tuntumaid veebirakenduste analüüsi tööriistu. Sqlmap automatiseerib SQL-injektsioonide otsimist ja ekspluateerimist, töötades mitmete SQL-i dialektidega ning sisaldab suures koguses erinevaid tehnikaid, alustades otsestest tsitaatidest ja lõpetades keerukate ajapõhiste SQL-injektsioonide vektoritega. Lisaks sisaldab see mitmeid edasise ekspluateerimise tehnikaid erinevatele andmebaasisüsteemidele, seega on see kasulik mitte ainult SQL-injektsioonide skaneerimise tööriistana, vaid ka võimsa tööriistana juba leitud SQL-injektsioonide ekspluateerimiseks.

Plussid:

• Mitmeid erinevaid tehnikaid ja suundi;
• Madala valehäirete arv;
• Palju kohandamisvõimalusi, erinevad tehnikad, sihtandmebaas, WAF-ist möödumiseks mõeldud skriptid;
• Võime eksportida väljundandmete dump'i;
• Palju erinevaid kasutusvõimalusi, näiteks mõnede andmebaaside puhul automaatne failide laadimine/laagimine, käsu täitmise võimaluse (RCE) saamine ja muud;
• Otsese andmebaasiühenduse tugi rünnaku käigus saadud andmete abil;
• Sisendina saab kasutada Burpi töö tulemuste tekstifaili — ei ole vaja käsitsi koostada kõiki käskuargumendi atribuute.

Miinused:

• Raskused kohandamisega, näiteks oma kontrollide kirjutamine on keeruline nõrga dokumentatsiooni tõttu;
• Ilma vastava seadistamiseta viib läbi mittetäielikke kontrolle, mis võib eksitada.

NoSQLMap

NoSQLMap — Pythonil põhinev tööriist NoSQL-i süstimisvõtetes otsingu ja ärakasutamise automatiseerimiseks. Mugav kasutada mitte ainult NoSQL-andmebaasides, vaid ka otse NoSQL-i kasutavate veebirakenduste auditeerimisel.

Plussid:

• Nagu sqlmap, võimaldab see mitte ainult leida võimalikke haavatavusi, vaid ka kontrollida nende ekspluateerimise võimalust MongoDB ja CouchDB jaoks.

Miinused:

• Ei toeta NoSQL-tandemina Redis, Cassandra, selle suunas käib arendus.

oxml_xxe

oxml_xxe — tööriist XXE XML-exploitide integreerimiseks erinevatesse failitüüpidesse, kus kasutatakse XML-formaati.

Plussid:

• Toetab paljusid levinud formaate, nagu DOCX, ODT, SVG, XML.

Miinused:

• PDF, JPEG, GIF toe täielik teostamine on pooleli;
• Loob ainult ühe faili. Selle probleemi lahendamiseks saab kasutada tööriista docem, mis suudab luua suure hulga faile erinevates kohtades koos payloadidega.

Eeltoodud utiliidid teevad suurepärast tööd XXE testimisel dokumendide laadimise korral, mis sisaldavad XML-i. Kuid ärge unustage, et XML-formaadiga töötlejate leidmine võib esineda ka paljus muus kontekstis, näiteks võib XML-i kasutada andmevorminguna JSON-i asemel.

Seetõttu soovitame pöörata tähelepanu järgmisele repole, mis sisaldab suurt hulka mitmekesiseid payload'e: PayloadsAllTheThings.

tplmap

tplmap — Python'i tööriist, mis automaatselt tuvastab ja eksploteerib Server-Side Template Injection'i haavatavusi, omab sarnasusi sqlmap'i seadete ja lippudega. Kasutab mitmeid erinevaid tehnikaid ja vektoreid, sealhulgas pimesi sisestusi, ning sisaldab tehnikaid koodi täitmiseks ja failide üles-/allalaadimiseks. Lisaks on tal oma arsenalis tehnikaid kümne erineva mallimootori jaoks ja mõned tehnikaid eval()-sarnaste koodi sisestuste leidmiseks Pythonis, Ruby's, PHP's ja JavaScript'is. Eduka ekspluateerimise korral avab see interaktiivse konsooli.

Plussid:

• Mitmeid erinevaid tehnikaid ja suundi;
• Toetab mitmeid mallirenderdusmootoreid;
• Rohked ekspluateerimise tehnikad.

CeWL

CeWL — Ruby's sõnastiku generaator, mis on loodud ainulaadsete sõnade väljavõtmiseks antud veebisaidilt, külgneb linkide kaudu saidil määratud sügavusele. Koostatud ainulaadsete sõnade sõnastikku saab hiljem kasutada paroolide bruteforce'imiseks teenustes või failide ja kaustade bruteforce'imiseks samal veebisaidil, või rünnakute jaoks saadud räsi hashcat'i või John the Ripperiga. Kasulik “sihtmärk” paroolide loendi koostamisel.

Plussid:

• Lihtne kasutada.

Miinused:

• Otsige sügavuse osas ettevaatlikult, et mitte mõnda üleliigset domeeni haarata.

Weakpass

Weakpass — teenus, mis sisaldab hulgaliselt sõnaraamatuid unikaalsete paroolidega. Väga kasulik erinevate paroolirikkumisega seotud ülesannete jaoks, alates lihtsast veebipõhisest jõhkrünnakust sihtteenuste kontodele kuni saadud räsi off-line jõhkrünnakuni. hashcat või John The Ripper. Sisaldab umbes 8 miljardit parooli pikkusega 4 kuni 25 tähte.

Plussid:

• Sisaldab nii spetsiifilisi sõnaraamatuid kui ka sõnaraamatuid, mis sisaldavad kõige sagedamini esinevaid paroole — saad valida konkreetse sõnaraamatu oma vajaduste järgi;
• Sõnaraamatud uuendatakse ja täiendatakse uute paroolidega;
• Sõnaraamatud on sorteeritud efektiivsuse järgi. Saad valida variandi nii kiireks on-line jõhkrünnakuks kui ka põhjalikuks paroolide leidmiseks mahukast sõnaraamatust viimasest lekkest;
• Saadaval on kalkulaator, mis näitab paroolide rikkumise aega sinu seadmetes.

Eraklassi soovime esile tõsta CMS-kontrollide tööriistu: WPScan, JoomScan ja AEM hacker.

AEM_hacker

AEM hacker — tööriist rakenduste Adobe Experience Manager (AEM) haavatavuste tuvastamiseks.

Plussid:

• Saab tuvastada AEM-rakendusi URL-ide loendist, mis on talle sisendiks antud;
• Sisaldab skripte RCE omandamiseks JSP-shelle üles laadides või SSRF-i ärakasutamise teel.

JoomScan

JoomScan — Perl'i tööriist, mis automatiseerib haavatavuste avastamist Joomla CMS-i kasutamisel.

Plussid:

• Suudab leida konfiguratsiooni puudusi ja administratiivsete seadete probleeme;
• Loetleb Joomla versioonid ja nendega seotud haavatavused, samuti eraldi komponente;
• Sisaldab üle 1000 exploiti Joomla komponente jaoks;
• Kokkuvõttearuannete genereerimine tekstivormingus ja HTML-vormingus.

WPScan

WPScan — Tööriist WordPressi veebisaitide skanneerimiseks, sisaldab haavatavusi nii WordPressi enda süsteemile kui ka mõnedele pluginatele.

Plussid:

• Suudab loetleda mitte ainult ohte WordPressi pistikprogrammide ja teemade puhul, vaid ka saada kasutajate nimekirja ja TimThumb-faile;
• Võib läbi viia brutaalründesid WordPressi veebisaitidele.

Miinused:

• Ilma vastava seadistamiseta viib läbi mittetäielikke kontrolle, mis võib eksitada.

Üldiselt eelistavad erinevad inimesed oma tööks erinevaid tööriistu: kõik on omamoodi head, ja see, mis meeldib ühele, ei pruugi teisele sobida. Kui arvate, et oleme ebaõiglaselt tähelepanuta jätnud mõne hea utiliidi — kirjutage meile kommentaarides!

Allikas: habr.com