چند وقت پیش در موردش نوشتم ، اما کمی ناچیز و آشفته. پس از آن، تصمیم گرفتم لیست ابزارهای موجود در بررسی را گسترش دهم، ساختار مقاله را اضافه کنم و انتقادات را در نظر بگیرم (با تشکر فراوان برای مشاوره) و آن را به یک مسابقه در SecLab فرستاد (و منتشر کرد ، اما به دلایل واضح هیچ کس او را ندید). مسابقه تمام شد، نتایج اعلام شد و با وجدان راحت می توانم آن را (مقاله) را در Habré منتشر کنم.
ابزارهای رایگان وب اپلیکیشن Pentester
در این مقاله در مورد محبوب ترین ابزارها برای پنتستینگ (تست نفوذ) برنامه های کاربردی وب با استفاده از استراتژی "جعبه سیاه" صحبت خواهم کرد.
برای انجام این کار، ما به ابزارهایی نگاه خواهیم کرد که به این نوع آزمایش کمک می کنند. دسته بندی محصولات زیر را در نظر بگیرید:
- اسکنرهای شبکه
- اسکنرهای نقض اسکریپت وب
- بهره برداری
- اتوماسیون تزریق
- دیباگرها (اسنیفر، پراکسی محلی و غیره)
برخی از محصولات دارای یک "شخصیت" جهانی هستند، بنابراین من آنها را در دسته ای طبقه بندی می کنم که در آنها یک "شخصیت" دارندоنتیجه بهتر (نظر ذهنی).
اسکنرهای شبکه
وظیفه اصلی کشف خدمات شبکه موجود، نصب نسخه های آنها، تعیین سیستم عامل و غیره است.
Nmap
یک ابزار رایگان و منبع باز برای تجزیه و تحلیل شبکه و ممیزی امنیت سیستم است. مخالفان خشن کنسول می توانند از Zenmap استفاده کنند که یک رابط کاربری گرافیکی برای Nmap است.
این فقط یک اسکنر "هوشمند" نیست، بلکه یک ابزار توسعه پذیر جدی است (یکی از "ویژگی های غیر معمول" وجود یک اسکریپت برای بررسی یک گره برای وجود کرم است "" (ذکر شده ). مثال استفاده معمولی:
nmap -A -T4 localhost
-A برای تشخیص نسخه سیستم عامل، اسکن اسکریپت و ردیابی
-تنظیم کنترل زمان T4 (بیشتر سریعتر است، از 0 تا 5)
localhost - میزبان هدف
چیزی سخت تر؟
nmap -sS -sU -T4 -A -v -PE -PP -PS21,22,23,25,80,113,31339 -PA80,113,443,10042 -PO --script all localhost
این مجموعه ای از گزینه ها از نمایه "اسکن جامع آهسته" در Zenmap است. تکمیل آن زمان زیادی طول می کشد، اما در نهایت اطلاعات دقیق تری را ارائه می دهد که می توان در مورد سیستم هدف پیدا کرد. ، اگر تصمیم دارید عمیق تر شوید، ترجمه مقاله را نیز توصیه می کنم .
Nmap وضعیت «محصول امنیتی سال» را از مجلات و جوامعی مانند Linux Journal، Info World، LinuxQuestions.Org و Codetalker Digest دریافت کرده است.
نکته جالب این است که Nmap را می‌توان در فیلم‌های «ماتریکس بارگذاری شده»، «سخت بمیر 4»، «اولتیماتوم بورن»، «هاتابیچ» و .
ابزارهای IP
- نوعی مجموعه از ابزارهای مختلف شبکه، همراه با رابط کاربری گرافیکی، "تخصیص" به کاربران ویندوز.
اسکنر پورت، منابع مشترک (چاپگر/پوشه مشترک)، WhoIs/Finger/Lookup، کلاینت شبکه راه دور و خیلی بیشتر. فقط یک ابزار راحت، سریع و کاربردی.
در نظر گرفتن محصولات دیگر نکته خاصی وجود ندارد، زیرا برنامه های کاربردی زیادی در این زمینه وجود دارد و همه آنها اصول عملیاتی و عملکرد مشابهی دارند. با این حال، nmap بیشترین استفاده را دارد.
اسکنرهای نقض اسکریپت وب
تلاش برای یافتن آسیب‌پذیری‌های محبوب (SQL inj، XSS، LFI/RFI، و غیره) یا خطاها (فایل‌های موقت حذف نشده، فهرست‌بندی فهرست، و غیره)
اسکنر آسیب پذیری وب Acunetix
- از پیوند می توانید ببینید که این یک اسکنر xss است، اما این کاملاً درست نیست. نسخه رایگان که در اینجا موجود است، عملکردهای بسیار زیادی را ارائه می دهد. معمولاً شخصی که برای اولین بار این اسکنر را اجرا می کند و برای اولین بار گزارشی از منبع خود دریافت می کند، با یک شوک خفیف مواجه می شود و با انجام این کار متوجه خواهید شد که چرا. این یک محصول بسیار قدرتمند برای تجزیه و تحلیل انواع آسیب پذیری ها در یک وب سایت است و نه تنها با وب سایت های معمول PHP، بلکه در زبان های دیگر نیز کار می کند (اگرچه تفاوت زبان نشانگر نیست). هیچ نکته خاصی در توصیف دستورالعمل ها وجود ندارد، زیرا اسکنر به سادگی اقدامات کاربر را "برمی دارد". چیزی شبیه به "بعدی، بعدی، بعدی، آماده" در نصب نرم افزار معمولی.
نیکو
این یک خزنده وب منبع باز (GPL) است. کارهای دستی معمولی را حذف می کند. سایت مورد نظر را برای اسکریپت های حذف نشده (برخی test.php، index_.php و غیره)، ابزارهای مدیریت پایگاه داده (/phpmyadmin/، /pma و موارد مشابه) و غیره جستجو می کند، یعنی منبع را برای رایج ترین خطاها بررسی می کند. معمولا توسط عوامل انسانی ایجاد می شود.
بعلاوه، اگر اسکریپت محبوبی پیدا کند، آن را برای اکسپلویت های منتشر شده (که در پایگاه داده هستند) بررسی می کند.
روش های "ناخواسته" موجود مانند PUT و TRACE را گزارش می دهد
و غیره. اگر به عنوان حسابرس کار کنید و وب سایت ها را هر روز تجزیه و تحلیل کنید، بسیار راحت است.
از معایب، می خواهم به درصد بالای مثبت کاذب اشاره کنم. به عنوان مثال، اگر سایت شما همیشه به جای خطای 404 خطای اصلی را می دهد (زمانی که باید رخ دهد)، اسکنر می گوید که سایت شما شامل تمام اسکریپت ها و تمام آسیب پذیری های پایگاه داده خود است. در عمل، این اتفاق اغلب رخ نمی دهد، اما در واقع، خیلی به ساختار سایت شما بستگی دارد.
کاربرد کلاسیک:
./nikto.pl -host localhost
اگر نیاز به مجوز در سایت دارید، می توانید یک کوکی در فایل nikto.conf، متغیر STATIC-COOKIE تنظیم کنید.
ویکتو
- نیکتو برای ویندوز، اما با برخی موارد اضافه شده، مانند منطق "فازی" هنگام بررسی کد برای خطاها، استفاده از GHDB، به دست آوردن پیوندها و پوشه های منابع، نظارت بر زمان واقعی درخواست ها/پاسخ های HTTP. Wikto به زبان سی شارپ نوشته شده است و به چارچوب دات نت نیاز دارد.
ماهی پرش
- اسکنر آسیب پذیری وب از (معروف به lcamtuf). نوشته شده در C، کراس پلتفرم (برنده شدن به Cygwin نیاز دارد). به صورت بازگشتی (و برای مدت بسیار طولانی، حدود 20 تا 40 ساعت، اگرچه آخرین باری که برای من کار کرد 96 ساعت بود) کل سایت را می خزد و انواع حفره های امنیتی را پیدا می کند. همچنین ترافیک زیادی ایجاد می کند (چند گیگابایت ورودی/خروجی). اما همه وسایل خوب هستند، به خصوص اگر وقت و منابع داشته باشید.
استفاده معمولی:
./skipfish -o /home/reports www.example.com
در پوشه "گزارش ها" گزارشی به زبان html وجود خواهد داشت. .
w3af
- چارچوب حمله و حسابرسی برنامه های وب، اسکنر آسیب پذیری وب منبع باز. رابط کاربری گرافیکی دارد، اما می توانید از کنسول کار کنید. به طور دقیق تر، یک چارچوب با .
می توانید برای مدت طولانی در مورد مزایای آن صحبت کنید، بهتر است آن را امتحان کنید:] کار معمولی با آن به انتخاب یک نمایه، مشخص کردن یک هدف و در واقع راه اندازی آن خلاصه می شود.
چارچوب امنیتی مانترا
رویایی است که به حقیقت پیوست. مجموعه ای از ابزارهای رایگان و باز امنیت اطلاعات که در یک مرورگر وب تعبیه شده است.
هنگام آزمایش برنامه های وب در تمام مراحل بسیار مفید است.
استفاده به نصب و راه اندازی مرورگر خلاصه می شود.
در واقع، برنامه های کاربردی زیادی در این دسته وجود دارد و انتخاب یک لیست خاص از بین آنها بسیار دشوار است. بیشتر اوقات، هر پنتستر خودش مجموعه ابزارهای مورد نیاز خود را تعیین می کند.
بهره برداری
برای بهره‌برداری خودکار و راحت‌تر از آسیب‌پذیری‌ها، اکسپلویت‌ها در نرم‌افزار و اسکریپت‌ها نوشته می‌شوند که فقط باید پارامترها را به منظور بهره‌برداری از حفره امنیتی ارسال کرد. و محصولاتی وجود دارند که نیاز به جستجوی دستی برای اکسپلویت‌ها را از بین می‌برند و حتی آنها را در لحظه اعمال می‌کنند. اکنون این مقوله مورد بحث قرار خواهد گرفت.
چارچوب Metasploit
- نوعی هیولا در تجارت ما. او می تواند کارهای زیادی انجام دهد که دستورالعمل ها چندین مقاله را پوشش می دهند. ما به بهره برداری خودکار (nmap + metasploit) خواهیم پرداخت. نتیجه نهایی این است: Nmap پورت مورد نیاز ما را تجزیه و تحلیل می‌کند، سرویس را نصب می‌کند و metasploit سعی می‌کند بر اساس کلاس سرویس (ftp، ssh و غیره) اکسپلویت‌هایی را برای آن اعمال کند. به‌جای دستورالعمل‌های متنی، ویدیویی را وارد می‌کنم که در موضوع autopwn بسیار محبوب است
یا می توانیم به سادگی عملیات اکسپلویت مورد نیاز خود را خودکار کنیم. به عنوان مثال:
msf > use auxiliary/admin/cisco/vpn_3000_ftp_bypass
msf auxiliary(vpn_3000_ftp_bypass) > set RHOST [TARGET IP]
msf auxiliary(vpn_3000_ftp_bypass) > run
در واقع، قابلیت های این فریم ورک بسیار گسترده است، بنابراین اگر تصمیم دارید عمیق تر بروید، به
آرمیتاژ
- OVA رابط کاربری گرافیکی ژانر سایبرپانک برای Metasploit. هدف را تجسم می کند، اکسپلویت ها را توصیه می کند و ویژگی های پیشرفته چارچوب را ارائه می دهد. به طور کلی، برای کسانی که دوست دارند همه چیز زیبا و چشمگیر به نظر برسد.
پخش صفحه نمایش:
قابل تحمل Nessus®
- می تواند خیلی کارها را انجام دهد، اما یکی از قابلیت هایی که ما از آن نیاز داریم، تعیین این است که کدام سرویس ها دارای اکسپلویت هستند. نسخه رایگان محصول "فقط در خانه"
Использование:
- دانلود (برای سیستم شما)، نصب، ثبت نام (کلید به ایمیل شما ارسال می شود).
- سرور را راه اندازی کرد، کاربر را به مدیر سرور Nessus اضافه کرد (دکمه مدیریت کاربران)
- به آدرس می رویم
https://localhost:8834/
و فلش کلاینت را در مرورگر دریافت کنید
- اسکن -> افزودن -> فیلدها را پر کنید (با انتخاب نمایه اسکن مناسب ما) و روی اسکن کلیک کنید
پس از مدتی، گزارش اسکن در تب Reports ظاهر می شود
برای بررسی آسیب‌پذیری عملی سرویس‌ها در برابر اکسپلویت‌ها، می‌توانید از چارچوب Metasploit که در بالا توضیح داده شد استفاده کنید یا سعی کنید یک اکسپلویت پیدا کنید (به عنوان مثال، در , , و غیره) و به صورت دستی در برابر آن استفاده کنید سیستم آن
IMHO: خیلی بزرگ است. من او را به عنوان یکی از رهبران در این مسیر صنعت نرم افزار آوردم.
اتوماسیون تزریق
بسیاری از اسکنرهای وب اپلیکیشن sec به دنبال تزریق هستند، اما هنوز هم فقط اسکنرهای عمومی هستند. و ابزارهایی وجود دارند که به طور خاص با جستجو و بهره برداری از تزریق سروکار دارند. اکنون در مورد آنها صحبت خواهیم کرد.
sqlmap
- ابزار منبع باز برای جستجو و بهره برداری از تزریق SQL. پشتیبانی از سرورهای پایگاه داده مانند: MySQL، Oracle، PostgreSQL، Microsoft SQL Server، Microsoft Access، SQLite، Firebird، Sybase، SAP MaxDB.
استفاده معمولی به این موارد خلاصه می شود:
python sqlmap.py -u "http://example.com/index.php?action=news&id=1"
کتابچه های راهنمای کافی از جمله به زبان روسی وجود دارد. این نرم افزار کار پنتستر را هنگام کار بر روی این قسمت بسیار تسهیل می کند.
من یک نمایش ویدیویی رسمی اضافه خواهم کرد:
bsqlbf-v2
- یک اسکریپت پرل، یک نیروی بی رحم برای تزریق Sql "کور". هم با مقادیر صحیح در url و هم با مقادیر رشته کار می کند.
پایگاه داده پشتیبانی می شود:
- MS-SQL
- خروجی
- PostgreSQL و
- وحی
مثال استفاده:
./bsqlbf-v2-3.pl -url www.somehost.com/blah.php?u=5 -blind u -sql "select table_name from imformation_schema.tables limit 1 offset 0" -database 1 -type 1
-url - پیوند با پارامترها
-تو کور کن - پارامتر برای تزریق (به طور پیش فرض آخرین مورد از نوار آدرس گرفته می شود)
-sql "انتخاب table_name از imformation_schema.tables محدود 1 offset 0" - درخواست خودسرانه ما از پایگاه داده
-پایگاه داده 1 - سرور پایگاه داده: MSSQL
-نوع 1 - نوع حمله، تزریق "کور"، بر اساس پاسخ های True و Error (به عنوان مثال، خطاهای نحوی)
اشکال زداها
این ابزارها عمدتاً توسط توسعه دهندگان زمانی استفاده می شوند که با نتایج اجرای کد خود مشکل داشته باشند. اما این جهت برای آزمایش پنالتی نیز مفید است، زمانی که می‌توانیم داده‌های مورد نیاز خود را در حین پرواز جایگزین کنیم، آنچه را که در پاسخ به پارامترهای ورودی ما می‌آید (مثلاً در حین فاز کردن) تجزیه و تحلیل کنیم.
سوئیت Burp
- مجموعه ای از ابزارهای کمکی که به تست های نفوذ کمک می کنند. در اینترنت است به زبان روسی از Raz0r (البته برای سال 2008).
نسخه رایگان شامل:
- Burp Proxy یک پروکسی محلی است که به شما امکان می دهد درخواست های ایجاد شده از قبل از مرورگر را تغییر دهید
- Burp Spider - عنکبوت، فایل ها و دایرکتوری های موجود را جستجو می کند
- Burp Repeater - ارسال دستی درخواست های HTTP
- Burp Sequencer - تجزیه و تحلیل مقادیر تصادفی در فرم ها
- Burp Decoder یک رمزگشا-رمزگر استاندارد (html، base64، hex، و غیره) است که هزاران مورد از آن وجود دارد که می توان به سرعت به هر زبانی نوشت.
- مقایسه کننده آروغ - مولفه مقایسه رشته
در اصل این پکیج تقریبا تمامی مشکلات مربوط به این حوزه را حل می کند.
فیدلر
- Fiddler یک پروکسی اشکال زدایی است که تمام ترافیک HTTP(S) را ثبت می کند. به شما امکان می دهد این ترافیک را بررسی کنید، نقاط شکست را تنظیم کنید و با داده های ورودی یا خروجی "بازی" کنید.
همچنین وجود دارد ، هیولا و دیگران، انتخاب با کاربر است.
نتیجه
به طور طبیعی، هر پنتستر دارای زرادخانه و مجموعه ابزارهای خاص خود است، زیرا تعداد زیادی از آنها وجود دارد. من سعی کردم برخی از راحت ترین و محبوب ترین آنها را لیست کنم. اما برای اینکه هرکسی بتواند خود را با ابزارهای دیگر در این راستا آشنا کند، لینک های زیر را ارائه خواهم کرد.
برترین ها/لیست های مختلف اسکنرها و ابزارهای کمکی
- .
توزیع های لینوکس که در حال حاضر شامل مجموعه ای از ابزارهای مختلف پنتستینگ هستند
به روز کردن: به زبان روسی از تیم "Hack4Sec" (اضافه شد )
PS ما نمی توانیم در مورد XSpider سکوت کنیم. در بررسی شرکت نمی کند، اگرچه به اشتراک گذاشته شده است (وقتی مقاله را به SecLab فرستادم متوجه شدم، در واقع به این دلیل (عدم دانش و فقدان آخرین نسخه 7.8) و آن را در مقاله لحاظ نکردم). و از نظر تئوری، بازبینی آن برنامه ریزی شده بود (آزمایش های سختی برای آن آماده کرده ام)، اما نمی دانم که آیا جهان آن را خواهد دید یا خیر.
PPS برخی از مطالب مقاله برای هدف مورد نظر خود در گزارشی که در آینده ارائه می شود استفاده خواهد شد 2012 در بخش QA، که شامل ابزارهایی است که در اینجا ذکر نشده است (البته رایگان)، و همچنین الگوریتم، به چه ترتیبی باید از چه چیزی استفاده کرد، چه نتیجه ای را انتظار داشت، از چه پیکربندی هایی استفاده کرد و انواع نکات و ترفندها در زمان استفاده کار کردن (من تقریباً هر روز به گزارش فکر می کنم ، سعی می کنم بهترین ها را در مورد موضوع موضوع به شما بگویم)
به هر حال، یک درس در مورد این مقاله در وجود دارد InfoSec Days را باز کنید (, )، می توان غارت گاوها نگاهی بیاندازید .
منبع: www.habr.com