Veebitööriistad, või kuidas alustada pentesterina?

Jätkame kasulikest tööriistadest pentesteritele rääkimist. Uues artiklis käsitleme veebirakenduste turvaseisundi analüüsi tööriistu.

Meie kolleeg BeLove oli juba sarnase valiku teinud umbes seitse aastat tagasi. Huvitav on vaadata, millised tööriistad on säilitanud ja tugevdanud oma positsioone ning millised on taandunud ja praegu kasutatakse harva.


Tuleb märkida, et siia kuulub ka Burp Suite, kuid sellest ja selle kasulikest pluginatest räägitakse eraldi postituses.

Sisukord:

• Amass
• Altdns
• aquatone
• MassDNS
• nsec3map
• Acunetix
• Dirsearch
• wfuzz
• ffuf
• gobuster
• Arjun
• LinkFinder
• JSParser
• sqlmap
• NoSQLMap
• oxml_xxe
• tplmap
• CeWL
• Weakpass
• AEM_hacker
• JoomScan
• WPScan

Amass

Amass — tööriist, mis on kirjutatud Go keeles, et leida ja uurida DNS-i alamdomeene ja koostada välist võrku kaardistamiseks. Amass on OWASP projekt, mille eesmärk on näidata, kuidas näevad organisatsioonid Internetis välja välise vaatleja jaoks. Alamdomene saab Amass erinevatel viisidel, kasutades nii rekursiivset alamdomainide uurimist kui ka avatud allikate otsimist.

Alamdomeenide ja autonoomsete süsteemide numbrite leidmiseks kasutab Amass töötamise ajal saadud IP-aadresse. Kõik leitud teave kasutatakse võrgu kaardi koostamiseks.

Plussid:

• Teabe kogumise tehnikad hõlmavad järgmist:
  * DNS — alamdomeenide sõnastiku alusel uurimine, alamdomeenide bruteforce, 'nutikas' uurimine, kasutades muundamise põhjal leitud alamdomeene, tagasipöördumise DNS-päringud ja DNS-serverite otsing, kus on võimalik teha tsooni edastamise (AXFR) päring;

  * Otsimine avatud allikates — Ask, Baidu, Bing, CommonCrawl, DNSDB, DNSDumpster, DNSTable, Dogpile, Exalead, FindSubdomains, Google, IPv4Info, Netcraft, PTRArchive, Riddler, SiteDossier, ThreatCrowd, VirusTotal, Yahoo;

  * Otsimine TLS-sertifikaatide andmebaasidest — Censys, CertDB, CertSpotter, Crtsh, Entrust;

  * Otsimine otsingumootorite API-de abil — BinaryEdge, BufferOver, CIRCL, HackerTarget, PassiveTotal, Robtex, SecurityTrails, Shodan, Twitter, Umbrella, URLScan;

  * Otsimine veebiarhiividest: ArchiveIt, ArchiveToday, Arquivo, LoCArchive, OpenUKArchive, UKGovArchive, Wayback;

• Aknastus Maltego;
• Tagab kõige täieliku katvuse DNS-alamdomeenide otsimise ülesande täitmisel.

Miinused:

• Ole ettevaatlik amass.netdomains'iga — see proovib pöörduda iga IP-aadressi poole tuvastatud infrastruktuuris ja saada domeeninimesid tagurpidi DNS-päringute ja TLS-sertifikaatide kaudu. See on 'kõva' tehnika, mis võib paljastada sinu luuretegevuse uuritavas organisatsioonis.
• Kõrge mälutarve, võib tarbida kuni 2 GB RAM erinevates seadetes, mis ei võimalda selle tööriista käivitamist odaval VDS-il.

Altdns

Altdns — tööriist Pythonis DNS-alamdomainide jaoks sõnastike koostamiseks. See võimaldab genereerida palju erinevaid alamdomeene mutatsioonide ja permutatsioonide abil. Selleks kasutatakse sõnu, mis sageli esinevad alamdomeenides (nt: test, dev, staging), kõik mutatsioonid ja permutatsioonid rakendatakse juba tuntud alamdomeenidele, mida saab esitada Altdns-ile. Väljundiks on alamdomeenide variatsioonide nimekiri, mis võivad eksisteerida, ja seda nimekirja saab hiljem kasutada DNS-i bruteforces.

Plussid:

• Töötleb hästi suurte andmesettide puhul.

aquatone

aquatone — oli varem paremini tuntud kui veel üks alamdomeenide otsimise tööriist, kuid autor loobus sellest eelnevalt mainitud Amassi kasuks. Praegu on aquatone kirjutatud Go-s ja on loodud rohkem veebisaitide eelkontrolliks. Selleks läbib aquatone määratud domeene ja otsib neist veebisaite erinevatel portidel, seejärel kogub kogu teabe saidi kohta ja teeb ekraanipildi. Mugav kiireks eelkontrolliks veebisaitide üle, mille põhjal saab valida rünnakute prioriteetsed sihid.

Plussid:

• Väljundiks loob grupi faile ja kaustu, mida on mugav kasutada teiste tööriistadega edasises töös:
  * HTML-aruanne kogutud ekraanipiltidega ja rühmitatud sarnaste vastuste pealkirjadega;

  * Fail kõigi URL-ide kohta, millel veebisaite leiti;

  * Fail statistika ja lehekülje andmete kohta;

  * Kaust failidega, mis sisaldavad vastuscime leitud sihtmärkidelt;

  * Kaust failidega, mis sisaldavad vastuse keha leitud sihtmärkidelt;

  * Ekraanipildid leitud veebisaitidest;

• Toetab XML-aruandeid Nmapilt ja Masscanilt;
• Kasutab headless Chrome'i/Chromium'i ekraanipiltide renderdamiseks.

Miinused:

• Võib tähelepanu tõmmata sissetungide avastamise süsteemidele, seega vajab seadistamist.

Ekraanipilt on tehtud ühe vanema versiooniga aquatone'ist (v0.5.0), kus oli rakendatud DNS-alamdomainide otsing. Vanemaid versioone saab leida vabastamise lehelt.

MassDNS

MassDNS — veel üks tööriist DNS-alamdomainide otsimiseks. Selle peamine erinevus on see, et see teeb DNS-päringuid otse mitme erineva DNS-resolveri poole ja teeb seda märkimisväärse kiirusaga.

Plussid:

• Kiire — suudab lahendada üle 350 000 nime sekundis.

Miinused:

• MassDNS võib tekitada märkimisväärset koormust kasutatavatele DNS-i resolvijatele, mis võib viia nende serverite keelamise või kaebusteni teie teenusepakkuja poole. Lisaks sellele tekitab see suurt koormust ettevõtte DNS-serveritele, kui neid on olemas ning kui nad vastutavad domeenide eest, mida proovite lahendada.
• Resolvierite nimekiri on praegu aegunud, kuid kui eemaldada mittetöötavad DNS-resolvierid ja lisada uusi tuntud, kõik läheb hästi.

Screenshot aquatone v0.5.0

nsec3map

nsec3map — Pythonil põhinev tööriist, mis genereerib täieliku nimekirja DNSSEC-iga kaitstud domeenidest.

Plussid:

• Avastab kiiresti hostid DNS-areas minimaalse päringute arvuga, kui alal on lubatud DNSSEC tugi;
• Sisaldab John the Ripper'i pluginat, mida saab kasutada saadud NSEC3 räsi murdmiseks.

Miinused:

• Paljusid DNS-erroreid käsitletakse valesti;
• Puudub automaatne NSEC kirje töötlemise paralleelimine — nimetegevuse ala tuleb käsitsi jagada;
• Kõrge mälutarbimine.

Acunetix

Acunetix — veebipõhiste haavatavuste skanner, mis automatiseerib veebirakenduste turvakontrolli protsessi. Testib rakendust SQL-injektsiooni, XSS, XXE, SSRF ja paljude teiste veebihäkkimise haavatavuste suhtes. Siiski, nagu iga teine mitme veebihäkkimise haavatavuste skanner, ei asenda see penetratsioonitestijat, kuna keerulised haavatavuste ahelad või loogikavead ei pruugi üles leida. Siiski katab see palju erinevaid haavatavusi, sealhulgas erinevaid CVE-sid, millest testija võib olla unustanud, seega on see väga kasulik rutiinsete kontrollide vabastamiseks.

Plussid:

• Madala valepositiivide määr;
• Tulemusi saab eksportida aruannete kujul;
• Teeb suuri jätkuvaid kontrolle erinevate haavatavuste suhtes;
• Mitme hosti paralleelne skanneerimine.

Miinused:

• Puudub deduplication algoritm (sarnased Acunetixi funktsionaalsuse lehed loetakse erinevaks, kuna nendele viivad erinevad URL-id), kuid arendajad töötavad selle nimel;
• Nõuab installimist eraldi veebiserverisse, mis raskendab kliend süsteemide testimist VPNi ühenduse kaudu ja skanneri kasutamist isoleeritud kohaliku kliendi võrgu segmendis;
• Võib „mürgitada“ uuritavat teenust, näiteks saata veebisaidi kontaktvormile liiga palju ründevektoreid, raskendades seeläbi oluliselt äriprotsesse;
• On on omandi ja seega mitte tasuta lahendus.

Dirsearch

Dirsearch — Python'i tööriist kataloogide ja failide brute force'iks veebisaitidel.

Plussid:

• Suudab eristada tõelisi "200 OK" lehti lehtedest "200 OK", kuid tekstiga "lehte ei leitud";
• Tuleb koos mugava sõnastikuga, mis omab head tasakaalu suuruse ja otsimise tõhususe vahel. Sisaldab standardsete teid, mis on iseloomulikud paljudele CMS-idele ja tehnoloogiaaladele;
• Oma sõnastiku formaat, mis võimaldab saavutada head tõhusust ja paindlikkust failide ja kataloogide läbimisel;
• Mugav väljund — lihtne tekst, JSON;
• Oskab teha throttling'ut — pausi päringute vahel, mis on eluliselt vajalik mis tahes nõrgale teenusele.

Miinused:

• Laiendusi tuleb edastada stringina, mis on ebamugav, kui tuleb edastada palju laiendusi korraga;
• Oma sõnastiku kasutamiseks tuleb seda natuke kohandada Dirsearch'i sõnastike formaati, et saavutada maksimaalne tõhusus.

wfuzz

wfuzz — Python'i veebifauzzer. Tõenäoliselt üks tuntumaid veebifauzzereid. Põhimõte on lihtne: wfuzz võimaldab fauzzida mistahes kohta HTTP-päringus, mis annab võimaluse fauzzida GET/POST parameetreid, HTTP-pealkirju, sealhulgas küpsiseid ja muid autentimise pealkirju. Samuti sobib see ka lihtsaks kataloogide ja failide brute force'iks, mille jaoks on vajalik hea sõnastik. Samuti on paindlik filtrite süsteem, millega saab filtreerida veebisaidi vastuseid erinevate parameetrite järgi, võimaldades saavutada tõhusat tulemust.

Plussid:

• Mitmeotstarbeline — modulaarne struktuur, kokkuvõte võtab paar minutit;
• Mugav filtreerimise ja fauzzimise mehhanism;
• Saab fauzzida iga HTTP meetodit, samuti mistahes kohta HTTP-päringus.

Miinused:

• On arendamisel.

ffuf

ffuf — veebifauzzer Go keeles, loodud "wfuzz'i sarnaseks", võimaldab brute force'ida faile, katalooge, URL-ti nte, GET/POST parameetrite nimesid ja väärtusi, HTTP-pealkirju, sealhulgas Host pealkirja virtuaalhostide brute force'iks. Oma kolleegist wfuzz'ist erineb see suurema kiirus ja uued funktsioonid, näiteks toetatakse Dirsearch formaadis sõnastikke.

Plussid:

• Filtrid on sarnased wfuzz'i filtritega, võimaldades paindlikult kohandada brute force'i;
• Lubab fauzzida HTTP-pealkirjade väärtusi, POST-päringute andmeid ja erinevaid URLs osi, sealhulgas GET-parameetrite nimesid ja väärtusi;
• Saab määrata mistahes HTTP meetodi.

Miinused:

• On arendamisel.

gobuster

gobuster — Go tööriist uurimiseks, millel on kaks töörežiimi. Esimene kasutab veebisaidi failide ja kaustade bruteforce'i, teine aga DNS-alamdomeenide genereerimist. Tööriist ei toeta algselt failide ja kaustade rekurssiivset genereerimist, mis muidugi säästab aega, kuid teisest küljest peab iga uue lõpu punkti bruteforce'i eraldi käivitama.

Plussid:

• Suurepärane töökiirus nii DNS-alamdomeenide genereerimisel kui ka failide ja kaustade bruteforce'is.

Miinused:

• Praeguses versioonis puudub HTTP-pealkirjade seadistamise tugi;
• Vaikimisi loetakse kehtivaks ainult mõningaid HTTP-staatuse koode (200, 204, 301, 302, 307).

Arjun

Arjun — tööriist varjatud HTTP-parameetrite bruteforce'iks GET/POST-parameetrites, samuti JSON-is. Sisseehitatud sõnaraamat sisaldab 25 980 sõna, mida Ajrun kontrollib peaaegu 30 sekundi jooksul. Asi on selles, et Ajrun ei kontrolli iga parameetrit eraldi, vaid vaatab kohe ~1000 parameetrit korraga ja jälgib, kas vastus muutus. Kui vastus muutub, jagab ta selle 1000 parameetrit kaheks ja kontrollib, milline neist mõjutas vastust. Seega, läbi lihtsa binaarse otsingu leitakse parameeter või mitu varjatud parameetrit, mis mõjutasid vastust ja seega võivad eksisteerida.

Plussid:

• Suurepärane töökiirus binaarse otsingu tõttu;
• Toetab GET/POST-parameetreid, samuti parameetreid JSON-vormingus;

Sarnasel põhimõttel töötab ka Burp Suite'i plugin — param-miner, mis on samuti väga hea varjatud HTTP-parameetrite leidmisel. Räägime sellest lähemalt tulevas artiklis Burpist ja selle pistikprogrammidest.

LinkFinder

LinkFinder — Pythonis skript, mis otsib linke JavaScripti failidest. Kasulik varjatud või unustatud lõpp-punktide/URL-de leidmiseks veebirakenduses.

Plussid:

• Kiire;
• On spetsiaalne Chrome'i plugin, mis põhineb LinkFinderil.

.

Miinused:

• Ebamugav lõppväljastus;
• Ei analüüsi JavaScripti dünaamikas;
• Suhteliselt lihtne linkide otsimise loogika — kui JavaScript on mingil juhul obfutseeritud või lingid puuduvad algselt ja genereeritakse dünaamiliselt, siis ei suuda see midagi leida.

JSParser

JSParser — Pythonis skript, mis kasutab Tornado ja JSBeautifier relatiivsete URL-ade analüüsimiseks JavaScripti failidest. Väga kasulik AJAX-päringute avastamiseks ja API-meetodite loetelu koostamiseks, millega rakendus suhtleb. Tõhusalt töötab koos LinkFinderiga.

Plussid:

• Kiire JavaScripti failide parsimine.

sqlmap

sqlmap — ilmselt üks tuntumaid tööriistu veebirakenduste analüüsimiseks. Sqlmap automatiseerib SQL-injektsioonide otsimise ja ekspluateerimise, toetab mitmeid SQL-i dialekte ning selle arsenalis on tohutult erinevaid tehnikaid, alates 'põhjaliku' kvootide kasutamisest kuni keerukate ajapõhiste SQL-injektsioonide vektoriteni. Lisaks on tal palju edasise ekspluateerimise tehnikaid erinevate andmebaasisüsteemide jaoks, mistõttu on see kasulik mitte ainult SQL-injektsioonide skannerina, vaid ka võimsa tööriistana leitud SQL-injektsioonide ekspluateerimiseks.

Plussid:

• Lugematul hulgal erinevaid tehnikaid ja vektoreid;
• Madala valehäirete arv;
• Mitmeid täiendavaid võimalusi täpsete seadistuste jaoks, erinevad tehnikad, sihtandmebaas, tamper-skripti skriptid WAFi ületamiseks;
• Võimalus luua dump väljundandmetest;
• Mitmeid erinevaid ekspluateerimise võimalusi, näiteks mõne andmebaasi puhul automaatne failide üleslaadimine/mahalaadimine, käsu täitmise võimaluse (RCE) saamine jms;
• Otsene ühenduse tugi andmebaasiga rünnaku käigus saadud andmete abil;
• Sisendina saab anda tekstifaili Burpi tulemuste kogumisest — ei ole vaja käsitsi koostada kõiki käsurea atribuute.

Miinused:

• Kohandamine on keeruline, näiteks oma kontrollide kirjutamine on raske madala dokumentatsiooni tõttu;
• Ilma vastavate seadistusteta viib see läbi mittetäieliku kontrollide komplekti, mis võib olla eksitav.

NoSQLMap

NoSQLMap — Pythonil põhinev tööriist NoSQL-injektsioonide otsimise ja ekspluateerimise automatiseerimiseks. Seda on mugav kasutada mitte ainult NoSQL-andmebaasides, vaid ka veebirakenduste auditeerimisel, mis kasutavad NoSQL-i.

Plussid:

• Nagu sqlmap, võimaldab see mitte ainult tuvastada potentsiaalset haavatavust, vaid ka kontrollida selle ekspluateerimise võimalust MongoDB ja CouchDB jaoks.

Miinused:

• Ei toeta Redis, Cassandra NoSQL-i, selle suunas käib arendus.

oxml_xxe

oxml_xxe — tööriist XXE XML-i eksploitide integreerimiseks erinevatesse failitüüpidesse, kus kasutatakse mingil kujul XML-formaati.

Plussid:

• Toetab paljusid levinud formaate, nagu DOCX, ODT, SVG, XML.

Miinused:

• PDF, JPEG, GIF toetust ei ole lõplikult rakendatud;
• Luuakse ainult üks fail. Selle probleemi lahendamiseks saab kasutada tööriista docem, mis suudab luua palju erinevates kohtades asuvaid faile payloadidega.

Ülaltoodud utiliidid teevad suurepäraselt XXE-testimist, kui laaditakse dokumente, mis sisaldavad XML-i. Kuid ärge unustage, et XML-formaatide töötlejad võivad esineda paljude teiste juhtumite puhul, näiteks võib XML olla andmevorminguna, mitte JSON-ina.

Seetõttu soovitame pöörata tähelepanu järgmisele repole, mis sisaldab suurt hulka erinevaid payload'e: PayloadsAllTheThings.

tplmap

tplmap — Pythonis põhinev tööriist serveripoolsete mallisisese sisseviimise haavatavuste automaatseks tuvastamiseks ja ärakasutamiseks, omab sarnaseid seadeid ja lippusid nagu sqlmap. Kasutab mitmeid erinevaid tehnikaid ja vektoreid, sealhulgas pimedad sisseviimised, samuti sisaldab kodu ja failide üles- ja allalaadimise tehnikaid. Lisaks sisaldab tehnikaid kümne erineva mallimootori jaoks ja mõned tehnikad eval()-taoliste koodisisestuste otsimiseks Pythonis, Ruby's, PHP's ja JavaScriptis. Eduka ärakasutamise korral avab interaktiivse konsooli.

Plussid:

• Lugematul hulgal erinevaid tehnikaid ja vektoreid;
• Toetab mitmeid template-renderimise mootoreid;
• Palju ärakasutamistehnikaid.

CeWL

CeWL — Ruby põhine sõnaraamide generaator, mis on loodud ainulaadsete sõnade ekstrakteerimiseks määratud veebisaidilt, läheb saidil linkide kaudu määratud sügavusele. Koostatud ainulaadsete sõnade sõnaraami saab hiljem kasutada paroolide ründamisel teenustes või failide ja kataloogide bruutimise ründamisel samal veebisaidil, samuti saadud hashide ründamisel hashcat'i või John the Ripper'i abil. Kasulik sihtmärgistatud potentsiaalsete paroolide nimekirja koostamisel.

Plussid:

• Lihtne kasutada.

Miinused:

• Peate olema ettevaatlik otsingu sügavusega, et mitte haarata liiga palju domeeni.

Weakpass

Weakpass — teenus, mis sisaldab palju ainulaadsete paroolidega sõnaraame. Ülimalt kasulik erinevate paroolide purustamisega seotud ülesannetes, alates lihtsast online-bruutimises sihtteenustes kuni offline-bruutimisse saadud hashide purustamiseks hashcat või John The Ripper. Koosneb umbes 8 miljardist paroolist, mille pikkus on 4 kuni 25 tähemärki.

Plussid:

• Sisaldab nii spetsiifilisi sõnaraame kui ka sõnaraame, mis sisaldavad kõige sagedamini esinevaid paroole — saate valida konkreetse sõnaraami vastavalt oma vajadustele;
• Sõnaraame uuendatakse ja täiendatakse uute paroolidega;
• Sõnastikud on sorteeritud efektiivsuse järgi. Saate valida variandi kiireks veebihäkkimiseks või põhjalikuks paroolide leidmiseks suurest sõnastikust, mis sisaldab viimaseid lekkeid;
• On olemas kalkulaator, mis näitab paroolide häkkimise aega teie seadmetes.

Tahan esile tõsta CMSi kontrollimise tööriistad: WPScan, JoomScan ja AEM hacker.

AEM_hacker

AEM hacker — tööriist haavatavuste avastamiseks Adobe Experience Manageris (AEM).

Plussid:

• Suudab tuvastada AEM-rakendusi URL-i nimekirjast, mille olete talle esitanud;
• Sisaldab skripte RCE saamiseks JSP-shelli laadimise või SSRF-i ära kasutamise kaudu.

JoomScan

JoomScan — Perlil põhinev tööriist Joomla CMS-i haavatavuste tuvastamise automatiseerimiseks.

Plussid:

• Suudab leida konfigureerimisvead ja administraatori seadistuste probleeme;
• Loetleb Joomla versioonid ja nendega seotud haavatavused, samuti eraldi komponente;
• Sisaldab üle 1000 eksploitatsiooni Joomla komponente;
• Esitab lõpparuandeid tekst- ja HTML-formaatides.

WPScan

WPScan — tööriist WordPressi saitide skaneerimiseks, sisaldab haavatavusi nii WordPressi enda jaoks kui ka mitmete pluginade jaoks.

Plussid:

• Suudab loetleda mitte ainult ebaturvalisi WordPressi pluginaid ja teemasid, vaid ka hankida kasutajate nimekirja ja TimThumb-failid;
• Suudab läbi viia brute force rünnakuid WordPressi saitide vastu.

Miinused:

• Ilma vastavate seadistusteta viib see läbi mittetäieliku kontrollide komplekti, mis võib olla eksitav.

Kokkuvõttes eelistavad erinevad inimesed töötamiseks erinevaid tööriistu: kõik on omamoodi head ja see, mis meeldis ühele inimesele, ei pruugi teisele sobida. Kui arvate, et oleme tähelepanuta jätnud mõne hea utiliidi — kirjutage sellest kommentaarides!

Allikas: habr.com