Tasuta tööriistade ülevaade veebialuste ja mitte ainult pentestimiseks v2

Juba ammu tagasi ma juba kirjutasin selles, aga natuke napp ja segane. Pärast otsustasin laiendada ülevaate tööriistade nimekirja, lisada artiklisse struktuuri, arvesse võtta kriitikat (suur aitäh Lefty nõuannete eest) ja saatsin selle konkursile SekLab (ja avaldasin linki, aga kõigil arusaadavatel põhjustel ei näinud seda keegi). Konkurs on lõppenud, tulemused on kuulutatud ja ma saan puhta südametunnistusega seda (artiklit) avaldada Habr's.

Tasuta veebirakenduste pentsesteri tööriistad

Selles artiklis räägin kõige populaarsematest tööriistadest veebirakenduste pentsestinguks (sissetungitestideks) „mustal kastil” strateegia põhjal.
Selleks vaatame tarkvara, mis aitab selle konkreetse testimise vormiga. Vaatame järgmisi tootekategooriaid:

1. Võrguskanne
2. Veebiskripti haavatavuse skannerid
3. Eksploiteerimine
4. Sissetunge automatiseerimine
5. Siluri (snifferid, kohalikud proksid jne)

Mõned tooted omavad universaalset "iseloomu", seega liigitaksin need sinna kategooriasse, kus nad annavadilotkasuurima tulemuse (subjektiivne arvamus).

Võrguskanne.

Põhieesmärk on avada kergesti kätte saadavad võrguteenused, tuvastada nende versioonid, määrata OS jne.

Nmap
Nmap ("Network Mapper") on tasuta avatud lähtekoodiga tööriist võrgu analüüsimiseks ja süsteemide turvaauditi jaoks. Intensiivsed vastased konsoolile saavad kasutada Zenmapi, see on Nmap'i GUI.
See ei ole lihtsalt „smart” skanner, see on tõsine laiendatav tööriist (üheks „ebaharilikuks funktsiooniks” on skripti olemasolu, et kontrollida, kas sõlmes on ussisüsteem.Stuxnet" (mainitud siit). Tüüpiline kasutusviis:

nmap -A -T4 localhost

-A OS versiooni määramiseks, skannimiseks skriptide abil ja jälgimiseks
-T4 ajastuse seadistamiseks (rohkem — kiiremini, vahemikus 0 kuni 5)
localhost — sihthost
Midagi kõvemat?

nmap -sS -sU -T4 -A -v -PE -PP -PS21,22,23,25,80,113,31339 -PA80,113,443,10042 -PO --script all localhost

See on komplekt võimalusi „aeglane põhjalik skannimine” profiilist Zenmapis. Selle täitmine võtab mõnda aega, kuid annab lõppkokkuvõttes rohkem üksikasjalikku teavet, mida sihtsüsteemi kohta teada saada. Viidatud juhend venekeeles, kui otsustasite süveneda, ja samuti soovitan artikli tõlget Beginner’s Guide to Nmap.
Nmap on saanud „Aasta turvatoote” staatuse sellistelt väljaannetelt ja kogukondadelt nagu Linux Journal, Info World, LinuxQuestions.Org ja Codetalker Digest.
Huvitav on see, et Nmap'i saab näha filmides "Matrix: Reloaded", "Die Hard 4", "Bourne Ultimatum", "Hottabych" ja muudele.

IP-Tools
IP-Tools — erinevate võrgutööriistade komplekt, mis on varustatud graafilise kasutajaliidesega ja on suunatud Windowsi kasutajatele.
Portide skanner, jagatud ressursside (jagatud printerid/kaustad), WhoIs/Finger/Lookup, telneti klient ja palju muud. Lihtsalt mugav, kiire ja funktsionaalne tööriist.

Pole erilist mõtet arutada teisi tooteid, sest selles valdkonnas on palju tööriistu, mis kõik toimivad sarnase põhimõtte järgi ja pakuvad sarnaseid funktsioone. Siiski on Nmap kõige sagedamini kasutatav.

Veebiskripti haavatavuse skannerid

Püütakse leida populaarseid haavatavusi (SQL inj, XSS, LFI/RFI jt) või vigu (mitte eemaldatud ajutised failid, kataloogide indekseerimine jne)

Acunetix Veebihäkkimise Skanner
Acunetix Veebihäkkimise Skanner — linki vaadates tundub, et see on XSS skanner, kuid see ei ole päris nii. Tasuta versioon, mis on saadaval lingil, pakub üsna palju funktsioone. Tavaliselt haarab esmakordsel käivitamisel ja oma ressursi aruande saamisel inimest kerge šokk, ja te mõistate, miks, kui selle teete. See on väga võimas toode, mis analüüsib igasuguseid haavatavusi veebis ja töötab mitte ainult tuntud PHP-saitide, vaid ka teiste keeltega (kuigi keele erinevus ei ole näitaja). Juhiseid pole mõtet eriti kirjeldada, kuna skanner lihtsalt "võtab kinni" kasutaja tegevuse. Midagi sarnast nagu "järgmine, järgmine, järgmine, valmis" tüüpilises tarkvara installatsiooni protsessis.

Nikto
Nikto on open source (GPL) veebiskanner. Vabastab rutiinsest käsitsi töödest. Otsib sihtlehelt mitteeemaldatud skripte (nt test.php, index_.php jne), andmebaasi haldamise tööriistu (/phpmyadmin/, /pma jne) jne, see tähendab, et kontrollib ressurssi kõige levinumate vigade osas, mis tulenevad tavaliselt inimfaktorist.
Lisaks, kui see leiab mõne populaarse skripti, kontrollib seda olemasolevate haavatavuste (mis on andmebaasis) suhtes.
Teatab saadaval olevatest "soovimatutest" meetoditest, nagu PUT ja TRACE
Ja nii edasi. Väga mugav, kui töötad auditeerijana ja analüüsid igapäevaselt veebisaite.
Miinustest tahan märkida kõrget valehäirete protsenti. Näiteks kui teie sait annab pidevalt peamise lehe asemel 404 viga (kui see peaks ilmuma), siis skanner ütleb, et teie saidil on kõik skriptid ja kõik haavatavused tema andmebaasist. Praktikas ei esine seda nii sageli, kuid fakt on, et palju sõltub teie saidi struktuurist.
Klassikaline kasutamine:

.\/nikto.pl -host localhost

Kui on vaja veebilehel autentida, saab cookie'd määrata failis nikto.conf, muutujas STATIC-COOKIE.

Wikto
Wikto — Nikto Windowsile, kuid mõningate täiendustega, nagu "ebaselge" loogika vigade kontrollimisel, GHDB kasutamine, linkide ja kaustade saamine ressursilt, reaalajas HTTP päringute/response monitorimine. Wikto on kirjutatud C#-s ja vajab .NET raamistikku.

skipfish
skipfish — veebirünnakute ja auditite skanner Michal Zalewski (tuntud ka kui lcamtuf). Kirjutatud C-s, platvormidevaheline (Win vajab Cygwinit). Rekursiivselt (ja väga pikalt, 20~40 tundi, kuigi viimasel korral töötas mul 96 tundi) läbib kogu saiti ja leiab erinevaid turvaauke. Ka genereerib väga palju liiklust (mitu GB sissetulekut/väljumist). Aga kõik vahendid on head, eriti kui on aega ja ressursse.
Tüüpiline kasutamine:

./skipfish -o /home/reports www.example.com

Kaustas "reports" on html-aruanne, näide.

w3af
w3af — Veebirakenduse rünnaku ja auditi raamistik, avatud lähtekoodiga veebiuuenduste skanner. Omab GUI-d, aga võib töötada ka konsoolist. Täpsemalt on see raamistik, millel on hulgaliselt pluginaid.
Tema eeliste kohta saab rääkida kaua, parem on see ise ära proovida :)
Tüüpiline töö temaga seisneb profiili valimises, sihtkoha määramises ja käivitamises.

Mantra Security Framework
Mantra on täitunud unistus. Tasuta ja avatud tööriistade kogum, mis on integreeritud veebibrauserisse.
Väga kasulik veebirakenduste testimisel kõikidel etappidel.
Kasutamine seisneb brauseri installimises ja käivitamises.

Tegelikult on selles kategoorias väga palju utiliite ja üsna keeruline on neist konkreetne nimekiri välja tuua. Enamasti määrab iga pentester ise, millised tööriistad talle vajalikud on.

Eksploiteerimine

Automatiseeritud ja mugavamate tarkvarahaavatavuste ja skriptide kasutamiseks kirjutatakse eksploite, millele tuleb vaid parameetrid edastada, et turvaauku kasutusele võtta. On ka tooteid, mis vabastavad käsitsi eksploitide otsingu vajadusest ning rakendavad neid "otsekohe". Sellest kategooriast räägimegi praegu.

Metasploit Framework
Metasploit® Framework — tõeline monster meie valdkonnas. Ta oskab nii palju, et juhend koosneb mitmest artiklist. Vaatame automaatset eksploiteerimist (nmap + metasploit). Idee seisneb selles, et Nmap analüüsib vajaliku pordi, seab teenuse ja Metasploit proovib rakendada sellele eksploite lähtudes teenuse klassist (ftp, ssh jne). Tekstilise juhendi asemel lisame video, mis on üsna populaarne teema autopwn kohta.

Või saame lihtsalt automatiseerida vajaliku eksploiti töö. Näiteks:

msf > kasuta abi/administratsioon/cisco/vpn_3000_ftp_bypass
msf abi(vpn_3000_ftp_bypass) > määratle RHOST [TARGET IP]
msf abi(vpn_3000_ftp_bypass) > käita

Tegelikult on selle raamistikul väga laiad võimalused, seega kui soovite süvitsi minna, minge aadressile lingil

Armitage
Armitage — OVA žanri küberpunk GUI Metasploitile. Visualiseerib sihtmärki, soovitab eksploite ja pakub selle raamistikuga laiendatud võimalusi. Kokkuvõttes neile, kes armastavad, et kõik näeks ilus ja efektne välja.
Screencast:

Tenable Nessus®
Tenable Nessus® haavatavuste skanner — oskab väga palju, kuid me vajame ainult üht võimalust — määrata, milliste teenuste jaoks on eksploite. Tasuta versioon "home only".

Kasutamine:

• Laadige alla (oma süsteemile), installige, registreerige (võti saadetakse e-posti teel).
• Käivitasime serveri, lisasime kasutaja Nessus Server Manageris (nupp Manage users).
• Sisestame aadressile

  https://localhost:8834/

  ja saame brauseris Flash-klienti.

• Skannid -> Lisa -> täidame väljad (valides sobiva skaneerimisprofiili) ja vajutame Skannida.

Mõne aja pärast ilmub skaneerimise aruanne vahekaardi Reports.
Teenuste praktilise haavatavuse kontrollimiseks eksploitide suhtes saab kasutada eelpool kirjeldatud Metasploit Frameworki või proovida leida eksploiti (näiteks Explot-db, packet storm, explot search ja teised) ja kasutada seda käsitsi oma süsteemi vastu. IMHO: liiga mahukas. Tõin selle üheks valdkonna juhtideks tarkvaratööstuses.
Rünnakute automatiseerimine

Automatiseerimine süstimise

Palju veebirakenduste turva skaneerijaid otsib sissetungimise kohtasid, kuid need on siiski vaid üldised skannerid. On ka tööriistu, mis tegelevad konkreetsete sissetungimiste otsimise ja ärakasutamisega. Räägime neist nüüd.

sqlmap
sqlmap — avatud lähtekoodiga tööriist SQL süvateemade otsimiseks ja ärakasutamiseks. Toetab andmebaasi servereid nagu: MySQL, Oracle, PostgreSQL, Microsoft SQL Server, Microsoft Access, SQLite, Firebird, Sybase, SAP MaxDB.
Tüüpiline kasutamine on järgmine rida:

python sqlmap.py -u "http://example.com/index.php?action=news&id=1"
On piisavalt õpetusi, sealhulgas vene keeles. See tarkvara lihtsustab pentesteri tööd selles suunas.
Lisaks olen lisanud ametliku video demonstreerimise:

bsqlbf-v2
bsqlbf-v2 — Perl skript, pime SQL süvateemade bruteforcer. Töötab nii integer väärtuste URL-is kui ka stringidega.
Toetab andmebaase:

• MS-SQL
• MySQL
• PostgreSQL
• Oracle

Kasutamise näide:

.\/bsqlbf-v2-3.pl -url www.somehost.com\/blah.php?u=5 -blind u -sql "select table_name from imformation_schema.tables limit 1 offset 0" -database 1 -type 1

-url www.somehost.com/blah.php?u=5 — Link parameetritega
-blind u — parameeter süvateemade jaoks (vaikimisi võetakse viimane aadressirida)
-sql "select table_name from information_schema.tables limit 1 offset 0" — meie kohandatud päring andmebaasi
-database 1 — andmebaasi server: MSSQL
-type 1 — rünnaku tüüp, pime süstimine, mis põhineb True ja Error (nt süntaktiliste vigade) vastustel

Debuggereid

Need tööriistad on peamiselt arendajate kasutuses, kui nad seisavad silmitsi kooditulemuste probleemidega. Kuid see suund on kasulik ka pentestimise ajal, kui saame „õhuli“ vajalikke andmeid vahetada ja analüüsida, mis vastust meie sisendparameetritele tuleb (nt fuzzing ajal) jne.

Burp Suite
Burp Suite — tööriistade kogum, mis aitab sissetungimise testimisel. Veebis on saadaval hea ülevaade vene keeles Raz0rilt (tõsi, 2008. aastast).
Tasuta versioon sisaldab:

• Burp Proxy — kohalik proksi, mis võimaldab muuta juba koostatud päringuid brauserist
• Burp Spider — ämblik, otsib olemasolevaid faile ja kaustu
• Burp Repeater — käsitsi HTTP-päringute saatmine
• Burp Sequencer — juhuslike väärtuste analüüs vormides
• Burp Decoder — standardne kodeerija-dekodeerija (html, base64, hex jne), millest on tuhandeid, mida saab kiiresti kirjutada mõnes keeles
• Burp Comparer — ridade võrreldav komponent

Põhimõtteliselt lahendab see pakett praktiliselt kõik selle suuna seotud ülesanded.

Fiddler
Fiddler — Fiddler on silumisproksi, mis logib kogu HTTP(S) liiklust. See võimaldab uurida seda liiklust, seadistada murranguid ja „mängida” sissetuleva või väljamineva teabega.

On ka veel Firesheep, koletus Wireshark ja teised, valik on kasutaja käes.

Kokkuvõte

Igal pentesteril on loomulikult oma arsenal ja tööriistade komplekt, kuna neid on tõeliselt palju. Olen püüdnud esitada mõned kõige mugavamad ja populaarsed tööriistad. Kuid et igaüks saaks tutvuda ka teiste tööriistadega, toon allpool lingid.

Erinevad tipud/listid skaneerimiseks ja tööriistadeks

• Turvafitseerimise ja häkkimise tööriistad
• Top 100 võrgu turvamehaanika tööriistad
• Top 10 veebihäkkimisõrnuse skannerid.
• Top 10 õrnuse skannerid
• OWASP Top 10 tööriistad ja taktikad
• Veebipõhised rakenduste turvaskannerid
• Veebirakenduse turvaskannerite nimekiri WebAppSec'i poolt
• Infosec tööriistad RDot foorumis
• Õrnuse skannerid (Vikipeedia)

Linuxi distributsioonid, millel on juba hulk erinevaid tööriistu pentestimiseks

• BackTrack
• Pentoo
• WEAKERTHAN
• Backbuntu

upd: BurpSuite dokumentatsioon vene keeles meeskonnalt 'Hack4Sec' (lisatud AntonKuzmin)

P.S. XSpider'i kohta ei saa vaikida. Ei osale ülevaates, kuigi see on tinglikult tasuta (sain teada, kui saatsin artikli SekLabi, just seetõttu (mitte teadlikkusest, ega ka mitte viimase versiooni 7.8 puudumisest) ja ei lisanud seda artiklisse). Ja põhimõtteliselt oli kavandatud selle ülevaade (mul on selle jaoks ette valmistatud keerulised testid), aga ei tea, kas maailm seda näeb.

P.P.S. Mõningaid materjale artiklist kasutatakse otseseks otstarbeks tulevases ettekandes CodeFest 2012 QA sektsioonis, kus tutvustatakse siin mitte mainitud tööriistu (muidugi tasuta), ning räägitakse algoritmist, kuidas kasutada, millist tulemust oodata, milliseid konfigureerimisi kasutada ja igasuguseid vihjeid ja trikke töötamisel (mõtlen ettekandele peaaegu iga päev, püüan jagada parimaid mõtteid teema kohta)
Muide, selle artikli põhjal oli tegevus Open InfoSec Days (silt Habras, veebisaidile), võib karavane rünnata vaadata materjalid.

Allikas: habr.com