Wapiti — oma jõududega veebisaidi haavatavuste kontrollimine

Eelmisel artiklis rääkisime Nemesida WAF Free — tasuta tööriist, mis kaitseb veebisaite ja API-sid häkkerirünnakute eest. Otsustasime teha ülevaate populaarsetest turvaaukude skaneerimise tööriistadest. Wapiti.

Veebisaidi turvaaukude skaneerimine on hädavajalik meetod, mis koos lähtekoodi analüüsiga võimaldab hinnata saidi turvalisuse taset võimalike ohtude eest. Veebiteenuse skaneerimist saab teha spetsialiseeritud tööriistadega.

Nikto, W3af (kirjutatud Python 2.7, mille tugi on lõppenud) või Arachni (mis ei saa enam toetamist alates veebruarist) on tasuta valiku seas kõige populaarsemad lahendused. Loomulikult on olemas ka teisi, näiteks Wapiti, millele me keskendume.

Wapiti tuvastab järgmisi turvaauke:

• failide avalikustumine (kohalikud ja eemalolevad, fopen, readfile);
• süstid (PHP / JSP / ASP / SQL-süstid ja XPath-süstid);
• XSS (võõraste skriptide rünnak) (peegelduvad ja püsivad);
• käskude tuvastamine ja täitmine (eval (), system (), passtru ());
• CRLF-süstid (HTTP vastuste jagamine, seansi fikseerimine);
• XXE (XML väline entiteet) süstimine;
• SSRF (serveripoolne päringute valeidentifitseerimine);
• tuntud potentsiaalselt ohtlike failide kasutamine (Nikto andmebaasi kaudu);
• nõrgad .htaccess seadistused, mida saab mööda hiilida;
• varukoopiafailide olemasolu, mis avalikustavad konfidentsiaalset teavet (lähtekoodi avalikustamine);
• Shellshock;
• avatud ümbersuunamised;
• ebastandardsete HTTP meetodite lubamine (PUT).

Võimalused:

• toetab HTTP, HTTPS ja SOCKS5 proksisid;
• autentimine mitmete meetoditega: Basic, Digest, Kerberos või NTLM;
• võimalus piirata skaneerimise ulatust (domeen, kaust, leht, URL);
• automaatne ühe URL parameetri eemaldamine;
• mitmed ettevaatusabinõud lõputute skaneerimisringide vastu (näiteks: ifor, parameetri väärtuste piiramisega);
• võimalus määrata URL-ide prioriteetide uurimiseks (isegi kui need ei asu skaneerimise piirkonnas);
• võimalus välistada mõned URL-id skaneerimisest ja rünnakutest (näiteks: URL logout);
• küpsiste importimine (saamine tööriista wapiti-getcookie kaudu);
• võimalus aktiveerida/deaktiveerida SSL-sertifikaatide kontrollimine;
• võimalus ekstraheerida URL JavaScriptist (väga lihtne JS-interpretator);
• koostöö HTML5-ga;
• mõned võimalused crawler'i käitumise ja piirangute haldamiseks;
• skaneerimisprotsessi maksimaalse aja seadmine;
• mõnede kohandatavate HTTP-pealkirjade lisamine või kohandatud User-Agent'i seadistamine.

Lisafunktsioonid:

• haavatavusraportite loomine erinevates formaatides (HTML, XML, JSON, TXT);
• skaneerimise või rünnaku peatamine ja jätkamine (seansimehhanism SQLite3 andmebaasi kasutades);
• terminaalihaldus haavatavuste esitlemiseks;
• erinevad logimise tasemed;
• kiire ja lihtne viis rünnakumoodulite aktiveerimiseks/deaktiveerimiseks.

Paigaldamine

Praeguse Wapiti versiooni saab installida 2 viisil:

• alla laadida allika ametlikult lehelt ja käivitada installiskeem, eelnevalt paigaldades Python3;
• kasutades käsku pip3 install wapiti3.

Pärast seda on Wapiti valmis tööks.

Tööriista kasutamine

Wapiti töö demonstreerimiseks kasutame spetsiaalselt ettevalmistatud seisti sites.vulns.pentestit.ru (siseressurss), mis sisaldab erinevaid haavatavusi (sisestus, XSS, LFI/RFI) ja muid veebirakenduste puudusi.

Teave on antud ainult tutvumiseks. Ärge rikkuda seadusi!

Põhikomandad skanneri käivitamiseks:

# wapiti -u <target> <options>

Samas on olemas üsna üksikasjalik abi, kus on palju käivitamisvalikuid, näiteks:

—scope — skaneerimise ulatus
Kui lisada skaneerimise URL'ile scope parameeter, saab reguleerida saidi skaneerimise ulatust, märkimiseks eraldi lehte või kõiki lehti, mida saidilt leida.

-s ja -x — parameetrid, mis lisavad või eemaldavad konkreetsed URL-aadressid. Need parameetrid on kasulikud, kui on vaja lisada või eemaldada konkreetne URL skaneerimisprotsessist.

—skip — määratud parameeter selle võtmega skaneeritakse, kuid ei rünnata. Kasulik, kui on mingeid ohtlikke parameetreid, mida oleks parem skaneerimisest välja jätta.

—verify-ssl — sertifikaadi kontrollimise lubamine või keelamine.
Wapiti skanner on modulaarne. K however, for running specific modules among those that are connected automatically when the scanner operates, the key -m should be used and the desired modules listed with a comma. If the key is not used, all modules will work by default. In the simplest variant, this will look as follows:

# wapiti -u http://sites.vulns.pentestit.ru/ -m sql,xss,xxe

See näidis tähendab, et me kasutame sihtmärkide skaneerimisel ainult SQL, XSS ja XXE mooduleid. Lisaks on võimalik filtreerida moodulite tööd sõltuvalt vajalikust meetodist. Näiteks -m “xss: get, blindsql: post, xxe: post”. Sellisel juhul rakendatakse moodulit xss GET meetodiga edastatavatele päringutele, samas kui moodul blibdsql rakendatakse POST päringutele jne. Ühtlasi, kui mõnda moodulit, mis on nimekirjas, ei vajata skaneerimise ajal või see töötab väga kaua, siis klahvikombinatsiooni Ctrl+C abil saab olemasoleva mooduli kasutamise vahele jätta, valides vastava punkti interaktiivses menüüs.

Wapiti toetab päringute edastamist läbi proxy-serveri võtmega -p ja autentimist sihtmärgis oleva veebisaidi kaudu parameetriga -a. Samuti on võimalik määrata autentimise tüüp: Basiс, Digest, Kerberos ja NTLM. Kahte viimast võib olla vaja täiendavate moodulite installimiseks. Lisaks on võimalik päringutesse sisestada mis tahes päiseid (sealhulgas suvaline User-Agent) ja palju muud.

Autentimise kasutamiseks saab kasutada tööriista wapiti-getcookie. Selle abil koostame küpsised, mida Wapiti kasutab skaneerimisel. Koostamine küpsised teostatakse käsuga:

# wapiti-getcookie -u http://sites.vulns.pentestit.ru/login.php -c cookie.json

Töötamise käigus interaktiivses režiimis vastame küsimustele ja näitame vajalikku teavet, nagu: kasutajanimi, parool ja muu:

Väljundina saame JSON formaadis faili. Teine võimalus on lisada kogu vajalik teave parameetri kaudu -d:

# wapiti-getcookie - http://sites.vulns.pentestit.ru/login.php -c cookie.json -d "username=admin&password=admin&enter=submit"

Tulemus on sarnane:

Peamise funktsionaalsuse vaatamisel oli meie jaoks veebirakenduse testimiseks lõpppäring:

# wapiti --level 1 -u http://sites.vulns.pentestit.ru/ -f html -o /tmp/vulns.html -m all --color -с cookie.json --scope folder --flush-session -A 'Pentestit Scans' -p http://proxy.office.pentestit.ru:3128

kus teiste parameetrite seas:

-f ja -o — aruande vorming ja tee salvestamiseks;

-m — kõigi moodulite ühendamine — ei soovitata, kuna see mõjutab testimise aega ja aruande suurust;

—color — toob esile leitud haavatavused vastavalt nende tõsidusele Wapiti enda versiooni järgi;

-c — faili kasutamine küpsised, mis on genereeritud kasutades wapiti-getcookie;

—scope — sihtmärgi valik rünnakuks. Valides variandi kaust skaneeritakse ja rünnatakse iga URL, alustades baasist. Baasu URL peab olema kaldkriipsuga (ilma failinime);

—flush-session — võimaldab teostada uuesti skaneerimist, kus eelnevaid tulemusi ei arvestata;

-A — kohandatud User-Agent;

-p — proxy serveri aadress, kui seda on vaja.

Veidi raportist

Skaneerimise tulemused esitatakse põhjaliku raportina kõigist avastatud haavatavustest HTML-lehe formaadis, mis on arusaadavas ja mugavas vormingus. Raportis on märgitud kategooriad ja avastatud haavatavuste arv, nende kirjeldus, päringud, käsud curl ja soovitused nende sulgemiseks. Navigatsiooni mugavuse huvides lisatakse kategooriate pealkirjadele link, millele klikkides saab liikuda sellele:

Oluline puudus raportis on, et selles puudub veebirakenduse kaart, ilma milleta ei ole selge, kas kõik aadressid ja parameetrid on analüüsitud. Samuti on olemas valehäirete tõenäosus. Meie juhul on raportis kirjas "varufailid" ja "võimalikult ohtlikud failid". Nende arv ei vasta tegelikkusele, kuna selliseid faile serveris ei olnud:

Võib-olla ajaga parandavad vale töömodulid olukorda. Samuti on raporti puuduseks avastatud haavatavuste värvumine (sõltuvalt nende kriitilisusest) või vähemalt nende kategoriseerimise puudumine. Ainus, kuidas me saame kaudselt mõista avastatud haavatavuse kriitilisust, on kasutada parameetrit —color skaneerimise käigus ja siis värvitakse leitud haavatavused erinevates värvides:

Kuid raportis selline värvimine ei ole ette nähtud.

Haavatavused

SQLi

Skanner suutis osaliselt avastada SQLi. SQL-haavatavuste otsimisel lehtedel, kus autentimine ei ole vajalik, mingeid probleeme ei esine:

Ei õnnestunud leida haavatavust lehtedel, mis on ligipääsetavad ainult pärast autentimist, isegi kasutades kehtivaid küpsised, kuna pärast edukat autentimist tõenäoliselt toimub "seansi lõpetamine" ja küpsised muutuvad kehtetuks. Kui deautentimise funktsioon oleks teostatud eraldi skripti kaudu, mis vastutab selle protseduuri töötlemise eest, oleks seda saanud täielikult välistada parameetriga -x, takistades seeläbi selle toimimist. Vastasel juhul ei õnnestu selle töötlemist välistada. See ei ole konkreetse moduuli probleem, vaid kogu tööriista probleem, kuid selle nüansi tõttu ei õnnestunud avastada mitmeid süstimist suletud ressursi osas.

XSS

Määratud ülesandega skanner sai suurepäraselt hakkama ja leidis kõik ettevalmistatud haavatavused:

LFI/RFI

Skanner leidis kõik vaktsineeritud haavatavused:

Üldiselt, vaatamata valehäiretele ja vaktsineerimise vahelejätmisele, näitab Wapiti kui tasuta tööriist üsna häid tulemusi. Igal juhul tuleb tunnistada, et skanner on üsna võimas, paindlik ja multifunktsionaalne ning mis kõige tähtsam — tasuta, seega on see õigustatud kasutamiseks, aidates administraatoreid ja arendajaid saada põhiteavet veebirakenduse turvalisuse seisundi kohta.

Püsige terved ja kaitstud!

Allikas: habr.com