🥇वेब संसाधनों और अधिक v2 का परीक्षण करने के लिए निःशुल्क टूल की समीक्षा

कुछ समय पहले मैंने इसके बारे में लिखा था यह, लेकिन थोड़ा अल्प और अराजक। बाद में मैंने समीक्षा में उपकरणों की सूची का विस्तार करने, लेख में संरचना जोड़ने और आलोचना को ध्यान में रखने का निर्णय लिया (बहुत धन्यवाद) लेफ्टी सलाह के लिए) और इसे SecLab पर एक प्रतियोगिता में भेजा (और प्रकाशित किया)। लिंक, लेकिन सभी स्पष्ट कारणों से किसी ने उसे नहीं देखा)। प्रतियोगिता समाप्त हो गई है, परिणाम घोषित कर दिए गए हैं और स्पष्ट विवेक के साथ मैं इसे (लेख) हैबे पर प्रकाशित कर सकता हूं।

निःशुल्क वेब एप्लिकेशन पेंटेस्टर टूल्स

इस लेख में मैं "ब्लैक बॉक्स" रणनीति का उपयोग करके वेब अनुप्रयोगों के पेनटेस्टिंग (प्रवेश परीक्षण) के लिए सबसे लोकप्रिय टूल के बारे में बात करूंगा।
ऐसा करने के लिए, हम उन उपयोगिताओं पर गौर करेंगे जो इस प्रकार के परीक्षण में मदद करेंगी। निम्नलिखित उत्पाद श्रेणियों पर विचार करें:

नेटवर्क स्कैनर
वेब स्क्रिप्ट उल्लंघन स्कैनर
शोषण
इंजेक्शन का स्वचालन
डिबगर्स (सूँघने वाले, स्थानीय प्रॉक्सी, आदि)

कुछ उत्पादों में एक सार्वभौमिक "चरित्र" होता है, इसलिए मैं उन्हें उस श्रेणी में वर्गीकृत करूंगा जिसमें उनका एक सार्वभौमिक "चरित्र" हैоबेहतर परिणाम (व्यक्तिपरक राय)।

नेटवर्क स्कैनर.

मुख्य कार्य उपलब्ध नेटवर्क सेवाओं की खोज करना, उनके संस्करण स्थापित करना, ओएस निर्धारित करना आदि है।

Nmap
एनएमएपी ("नेटवर्क मैपर") नेटवर्क विश्लेषण और सिस्टम सुरक्षा ऑडिटिंग के लिए एक निःशुल्क और खुला स्रोत उपयोगिता है। कंसोल के हिंसक विरोधी ज़ेनमैप का उपयोग कर सकते हैं, जो एनएमएपी के लिए एक जीयूआई है।
यह सिर्फ एक "स्मार्ट" स्कैनर नहीं है, यह एक गंभीर एक्स्टेंसिबल टूल है ("असामान्य विशेषताओं" में से एक कृमि की उपस्थिति के लिए नोड की जांच करने के लिए एक स्क्रिप्ट की उपस्थिति है)Stuxnet" (उल्लिखित यहां). विशिष्ट उपयोग उदाहरण:

nmap -A -T4 localhost

-ए ओएस संस्करण का पता लगाने, स्क्रिप्ट स्कैनिंग और ट्रेसिंग के लिए
-T4 समय नियंत्रण सेटिंग (अधिक तेज़ है, 0 से 5 तक)
लोकलहोस्ट - लक्ष्य होस्ट
कुछ और कठिन?

nmap -sS -sU -T4 -A -v -PE -PP -PS21,22,23,25,80,113,31339 -PA80,113,443,10042 -PO --script all localhost

यह ज़ेनमैप में "धीमी व्यापक स्कैन" प्रोफ़ाइल से विकल्पों का एक सेट है। इसे पूरा होने में काफी लंबा समय लगता है, लेकिन अंततः यह अधिक विस्तृत जानकारी प्रदान करता है जिससे लक्ष्य प्रणाली के बारे में पता लगाया जा सकता है। रूसी में सहायता गाइड, यदि आप गहराई में जाने का निर्णय लेते हैं, तो मैं लेख का अनुवाद करने की भी सलाह देता हूं एनएमएपी के लिए शुरुआती मार्गदर्शिका.
Nmap को Linux जर्नल, इन्फो वर्ल्ड, LinuxQuestions.Org और कोडटॉकर डाइजेस्ट जैसी पत्रिकाओं और समुदायों से "वर्ष का सुरक्षा उत्पाद" का दर्जा प्राप्त हुआ है।
एक दिलचस्प बात, एनएमएपी को "द मैट्रिक्स रीलोडेड", "डाई हार्ड 4", "द बॉर्न अल्टीमेटम", "हॉटबैच" और फिल्मों में देखा जा सकता है। अन्य.

आईपी उपकरण
आईपी उपकरण - विभिन्न नेटवर्क उपयोगिताओं का एक प्रकार का सेट, विंडोज़ उपयोगकर्ताओं के लिए "समर्पित" जीयूआई के साथ आता है।
पोर्ट स्कैनर, साझा संसाधन (साझा प्रिंटर/फ़ोल्डर), WhoIs/फिंगर/लुकअप, टेलनेट क्लाइंट और भी बहुत कुछ। बस एक सुविधाजनक, तेज़, कार्यात्मक उपकरण।

अन्य उत्पादों पर विचार करने का कोई विशेष मतलब नहीं है, क्योंकि इस क्षेत्र में बहुत सारी उपयोगिताएँ हैं और उन सभी के संचालन सिद्धांत और कार्यक्षमता समान हैं। फिर भी, एनएमएपी सबसे अधिक उपयोग किया जाता है।

वेब स्क्रिप्ट उल्लंघन स्कैनर

लोकप्रिय कमजोरियाँ (SQL inj,

एक्यूनेटिक्स वेब भेद्यता स्कैनर
एक्यूनेटिक्स वेब भेद्यता स्कैनर — लिंक से आप देख सकते हैं कि यह एक xss स्कैनर है, लेकिन यह पूरी तरह सच नहीं है। यहां उपलब्ध निःशुल्क संस्करण काफी कार्यक्षमता प्रदान करता है। आमतौर पर, जो व्यक्ति इस स्कैनर को पहली बार चलाता है और पहली बार अपने संसाधन पर रिपोर्ट प्राप्त करता है उसे हल्का सा झटका लगता है, और एक बार ऐसा करने पर आप समझ जाएंगे कि क्यों। यह किसी वेबसाइट पर सभी प्रकार की कमजोरियों का विश्लेषण करने के लिए एक बहुत शक्तिशाली उत्पाद है और न केवल सामान्य PHP वेबसाइटों के साथ, बल्कि अन्य भाषाओं में भी काम करता है (हालाँकि भाषा में अंतर कोई संकेतक नहीं है)। निर्देशों का वर्णन करने का कोई विशेष मतलब नहीं है, क्योंकि स्कैनर केवल उपयोगकर्ता के कार्यों को "पकड़" लेता है। एक विशिष्ट सॉफ़्टवेयर इंस्टॉलेशन में "अगला, अगला, अगला, तैयार" जैसा कुछ।

Nikto
Nikto यह एक ओपन सोर्स (जीपीएल) वेब क्रॉलर है। नियमित शारीरिक कार्य समाप्त हो जाता है। हटाए गए स्क्रिप्ट (कुछ test.php, Index_.php, आदि), डेटाबेस प्रशासन उपकरण (/phpmyadmin/, /pma और इसी तरह) आदि के लिए लक्ष्य साइट की खोज करता है, यानी, सबसे आम त्रुटियों के लिए संसाधन की जांच करता है आमतौर पर मानवीय कारकों के कारण होता है।
साथ ही, अगर इसे कोई लोकप्रिय स्क्रिप्ट मिलती है, तो यह जारी किए गए कारनामों (जो डेटाबेस में हैं) के लिए इसकी जांच करता है।
रिपोर्ट में PUT और TRACE जैसे "अवांछित" तरीके उपलब्ध हैं
और इसी तरह। यदि आप एक ऑडिटर के रूप में काम करते हैं और हर दिन वेबसाइटों का विश्लेषण करते हैं तो यह बहुत सुविधाजनक है।
कमियों में से, मैं झूठी सकारात्मकता के उच्च प्रतिशत पर ध्यान देना चाहूंगा। उदाहरण के लिए, यदि आपकी साइट हमेशा 404 त्रुटि (जब यह होनी चाहिए) के बजाय मुख्य त्रुटि देती है, तो स्कैनर कहेगा कि आपकी साइट में उसके डेटाबेस की सभी स्क्रिप्ट और सभी कमजोरियाँ शामिल हैं। व्यवहार में, ऐसा अक्सर नहीं होता है, लेकिन वास्तव में, बहुत कुछ आपकी साइट की संरचना पर निर्भर करता है।
क्लासिक उपयोग:

./nikto.pl -host localhost

यदि आपको साइट पर अधिकृत होने की आवश्यकता है, तो आप nikto.conf फ़ाइल, STATIC-COOKIE वैरिएबल में एक कुकी सेट कर सकते हैं।

विक्टो
विक्टो - विंडोज़ के लिए निक्टो, लेकिन कुछ अतिरिक्त के साथ, जैसे त्रुटियों के लिए कोड की जाँच करते समय "फ़ज़ी" तर्क, जीएचडीबी का उपयोग करना, लिंक और संसाधन फ़ोल्डर प्राप्त करना, HTTP अनुरोधों/प्रतिक्रियाओं की वास्तविक समय की निगरानी। विकटो C# में लिखा गया है और इसके लिए .NET फ्रेमवर्क की आवश्यकता है।

स्किपफ़िश
स्किपफ़िश - वेब भेद्यता स्कैनर से माइकल ज़ाल्वेस्की (एलसीमटफ के नाम से जाना जाता है)। सी में लिखा गया, क्रॉस-प्लेटफॉर्म (विन के लिए सिगविन की आवश्यकता होती है)। पुनरावर्ती रूप से (और बहुत लंबे समय तक, लगभग 20 ~ 40 घंटे, हालांकि पिछली बार इसने मेरे लिए 96 घंटे काम किया था) यह पूरी साइट को क्रॉल करता है और सभी प्रकार के सुरक्षा छेद ढूंढता है। यह बहुत अधिक ट्रैफ़िक (कई जीबी इनकमिंग/आउटगोइंग) भी उत्पन्न करता है। लेकिन सभी साधन अच्छे हैं, खासकर यदि आपके पास समय और संसाधन हैं।
विशिष्ट उपयोग:

./skipfish -o /home/reports www.example.com

"रिपोर्ट" फ़ोल्डर में html में एक रिपोर्ट होगी, उदाहरण.

w3af
w3af - वेब एप्लिकेशन अटैक और ऑडिट फ्रेमवर्क, ओपन-सोर्स वेब भेद्यता स्कैनर। इसमें एक GUI है, लेकिन आप कंसोल से काम कर सकते हैं। अधिक सटीक रूप से, यह एक रूपरेखा है प्लगइन्स का एक गुच्छा.
आप इसके फायदों के बारे में लंबे समय तक बात कर सकते हैं, इसे आज़माना बेहतर है :] इसके साथ विशिष्ट कार्य एक प्रोफ़ाइल चुनने, एक लक्ष्य निर्दिष्ट करने और वास्तव में, इसे लॉन्च करने तक आता है।

मंत्र सुरक्षा ढाँचा
मंत्र एक सपना है जो सच हो गया. वेब ब्राउज़र में निर्मित निःशुल्क और मुक्त सूचना सुरक्षा उपकरणों का एक संग्रह।
सभी चरणों में वेब अनुप्रयोगों का परीक्षण करते समय बहुत उपयोगी।
उपयोग ब्राउज़र को स्थापित करने और लॉन्च करने तक सीमित हो जाता है।

वास्तव में, इस श्रेणी में बहुत सारी उपयोगिताएँ हैं और उनमें से एक विशिष्ट सूची का चयन करना काफी कठिन है। अक्सर, प्रत्येक पेंटेस्टर स्वयं अपने लिए आवश्यक उपकरणों का सेट निर्धारित करता है।

शोषण

कमजोरियों के स्वचालित और अधिक सुविधाजनक दोहन के लिए, शोषण सॉफ्टवेयर और स्क्रिप्ट में लिखे जाते हैं, जिन्हें सुरक्षा छेद का फायदा उठाने के लिए केवल मापदंडों को पारित करने की आवश्यकता होती है। और ऐसे उत्पाद हैं जो कारनामों को मैन्युअल रूप से खोजने की आवश्यकता को समाप्त करते हैं, और यहां तक कि उन्हें तुरंत लागू भी करते हैं। अब इस श्रेणी पर चर्चा की जाएगी।

मेटस्प्लोइट फ्रेमवर्क
मेटास्प्लोइट® फ्रेमवर्क - हमारे व्यवसाय में एक प्रकार का राक्षस। वह इतना कुछ कर सकता है कि निर्देश कई लेखों को कवर करेंगे। हम स्वचालित शोषण (एनमैप + मेटास्प्लोइट) पर गौर करेंगे। लब्बोलुआब यह है: Nmap हमें आवश्यक पोर्ट का विश्लेषण करेगा, सेवा स्थापित करेगा, और मेटास्प्लोइट सेवा वर्ग (एफ़टीपी, एसएसएच, आदि) के आधार पर इसमें शोषण लागू करने का प्रयास करेगा। पाठ्य निर्देशों के स्थान पर, मैं ऑटोपॉन विषय पर काफी लोकप्रिय एक वीडियो डालूंगा

या हम बस उस शोषण के संचालन को स्वचालित कर सकते हैं जिसकी हमें आवश्यकता है। जैसे:

msf > use auxiliary/admin/cisco/vpn_3000_ftp_bypass msf auxiliary(vpn_3000_ftp_bypass) > set RHOST [TARGET IP] msf auxiliary(vpn_3000_ftp_bypass) > run
वास्तव में, इस ढाँचे की क्षमताएँ बहुत व्यापक हैं, इसलिए यदि आप गहराई में जाने का निर्णय लेते हैं, तो जाएँ लिंक

आर्मिटेज
आर्मिटेज - मेटास्प्लोइट के लिए साइबरपंक शैली जीयूआई का ओवीए। लक्ष्य की कल्पना करता है, कारनामों की अनुशंसा करता है और ढांचे की उन्नत सुविधाएँ प्रदान करता है। सामान्य तौर पर, उन लोगों के लिए जो हर चीज़ को सुंदर और प्रभावशाली देखना पसंद करते हैं।
स्क्रीनकास्ट:

टेनेबल नेसस®
टेनेबल नेसस® भेद्यता स्कैनर - बहुत सी चीजें कर सकता है, लेकिन हमें इसकी जिन क्षमताओं की आवश्यकता है उनमें से एक यह निर्धारित करना है कि किन सेवाओं में लाभ हैं। उत्पाद का निःशुल्क संस्करण "केवल घर पर"

Использование:

डाउनलोड किया गया (आपके सिस्टम के लिए), इंस्टॉल किया गया, पंजीकृत किया गया (कुंजी आपके ईमेल पर भेजी जाती है)।
सर्वर प्रारंभ किया, उपयोगकर्ता को नेसस सर्वर मैनेजर में जोड़ा (उपयोगकर्ता प्रबंधित करें बटन)
हम पते पर जाते हैं
```
https://localhost:8834/
```
और ब्राउज़र में फ़्लैश क्लाइंट प्राप्त करें
स्कैन -> जोड़ें -> फ़ील्ड भरें (हमारे लिए उपयुक्त स्कैनिंग प्रोफ़ाइल का चयन करके) और स्कैन पर क्लिक करें

कुछ समय बाद, स्कैन रिपोर्ट रिपोर्ट टैब में दिखाई देगी
शोषण के प्रति सेवाओं की व्यावहारिक भेद्यता की जांच करने के लिए, आप ऊपर वर्णित मेटास्प्लोइट फ्रेमवर्क का उपयोग कर सकते हैं या शोषण खोजने का प्रयास कर सकते हैं (उदाहरण के लिए, पर) एक्सप्लॉट-डीबी, पैकेट तूफ़ान, अन्वेषण खोज आदि) और इसके विरुद्ध मैन्युअल रूप से उपयोग करें इसकी प्रणाली
आईएमएचओ: बहुत भारी। मैं उन्हें सॉफ्टवेयर उद्योग की इस दिशा में अग्रणी लोगों में से एक के रूप में लाया।

इंजेक्शन का स्वचालन

कई वेब ऐप सेकंड स्कैनर इंजेक्शन की खोज करते हैं, लेकिन वे अभी भी सामान्य स्कैनर ही हैं। और ऐसी उपयोगिताएँ हैं जो विशेष रूप से इंजेक्शन की खोज और दोहन से संबंधित हैं। हम अब उनके बारे में बात करेंगे।

sqlmap
sqlmap - SQL इंजेक्शन की खोज और दोहन के लिए ओपन-सोर्स उपयोगिता। डेटाबेस सर्वर का समर्थन करता है जैसे: MySQL, Oracle, PostgreSQL, Microsoft SQL सर्वर, Microsoft Access, SQLite, Firebird, Sybase, SAP MaxDB।
विशिष्ट उपयोग इस पंक्ति तक सीमित है:

python sqlmap.py -u "http://example.com/index.php?action=news&id=1"
रूसी सहित पर्याप्त मैनुअल हैं। इस क्षेत्र पर काम करते समय सॉफ्टवेयर एक पेंटेस्टर के काम को बहुत सुविधाजनक बनाता है।
मैं एक आधिकारिक वीडियो प्रदर्शन जोड़ूंगा:

bsqlbf-v2
bsqlbf-v2 - एक पर्ल स्क्रिप्ट, "ब्लाइंड" एसक्यूएल इंजेक्शन के लिए एक क्रूर फोर्सर। यह यूआरएल में पूर्णांक मान और स्ट्रिंग मान दोनों के साथ काम करता है।
डेटाबेस समर्थित:

MS-एसक्यूएल
MySQL
पोस्टग्रेएसक्यूएल
ओरेकल

उपयोग का उदाहरण:

./bsqlbf-v2-3.pl -url www.somehost.com/blah.php?u=5 -blind u -sql "select table_name from imformation_schema.tables limit 1 offset 0" -database 1 -type 1
-यूआरएल www.somehost.com/blah.php?u=5 - पैरामीटर के साथ लिंक करें
-अंधा तुम - इंजेक्शन के लिए पैरामीटर (डिफ़ॉल्ट रूप से अंतिम एड्रेस बार से लिया जाता है)
-एसक्यूएल "imformation_schema.tables लिमिट 1 ऑफसेट 0 से टेबल_नाम चुनें" - डेटाबेस से हमारा मनमाना अनुरोध
-डेटाबेस 1 - डेटाबेस सर्वर: MSSQL
-श्रेणी 1 - हमले का प्रकार, "ब्लाइंड" इंजेक्शन, ट्रू और एरर (उदाहरण के लिए, सिंटैक्स त्रुटियां) प्रतिक्रियाओं पर आधारित

डिबगर

इन उपकरणों का उपयोग मुख्य रूप से डेवलपर्स द्वारा तब किया जाता है जब उन्हें अपने कोड को निष्पादित करने के परिणामों में समस्या होती है। लेकिन यह दिशा परीक्षण के लिए भी उपयोगी है, जब हम अपनी ज़रूरत के डेटा को तुरंत बदल सकते हैं, विश्लेषण कर सकते हैं कि हमारे इनपुट मापदंडों के जवाब में क्या आता है (उदाहरण के लिए, फ़ज़िंग के दौरान), आदि।

बर्प सूट
बर्प सूट - उपयोगिताओं का एक सेट जो प्रवेश परीक्षणों में मदद करता है। यह इंटरनेट पर है अच्छी समीक्षा रूसी में रज़0र से (यद्यपि 2008 के लिए)।
मुफ़्त संस्करण में शामिल हैं:

बर्प प्रॉक्सी एक स्थानीय प्रॉक्सी है जो आपको ब्राउज़र से पहले से उत्पन्न अनुरोधों को संशोधित करने की अनुमति देती है
बर्प स्पाइडर - स्पाइडर, मौजूदा फ़ाइलों और निर्देशिकाओं की खोज करता है
बर्प रिपीटर - मैन्युअल रूप से HTTP अनुरोध भेजना
बर्प सीक्वेंसर - रूपों में यादृच्छिक मूल्यों का विश्लेषण
बर्प डिकोडर एक मानक एनकोडर-डिकोडर (एचटीएमएल, बेस64, हेक्स, आदि) है, जिनमें से हजारों हैं, जिन्हें किसी भी भाषा में तुरंत लिखा जा सकता है।
बर्प तुलनाकर्ता - स्ट्रिंग तुलना घटक

सिद्धांत रूप में, यह पैकेज इस क्षेत्र से संबंधित लगभग सभी समस्याओं का समाधान करता है।

सारंगी बजानेवाला
सारंगी बजानेवाला - फ़िडलर एक डिबगिंग प्रॉक्सी है जो सभी HTTP(S) ट्रैफ़िक को लॉग करता है। आपको इस ट्रैफ़िक की जांच करने, ब्रेकप्वाइंट सेट करने और इनकमिंग या आउटगोइंग डेटा के साथ "प्ले" करने की अनुमति देता है।

वहाँ भी आग्नेयास्त्र, राक्षस Wireshark और अन्य, चुनाव उपयोगकर्ता पर निर्भर है।

निष्कर्ष

स्वाभाविक रूप से, प्रत्येक पेंटेस्टर का अपना शस्त्रागार और उपयोगिताओं का अपना सेट होता है, क्योंकि उनमें से बहुत सारे हैं। मैंने कुछ सबसे सुविधाजनक और लोकप्रिय लोगों को सूचीबद्ध करने का प्रयास किया। लेकिन ताकि कोई भी इस दिशा में अन्य उपयोगिताओं से परिचित हो सके, मैं नीचे लिंक प्रदान करूंगा।

स्कैनर और उपयोगिताओं के विभिन्न शीर्ष/सूचियाँ

सुरक्षा और हैकिंग उपकरण
शीर्ष 100 नेटवर्क सुरक्षा उपकरण
शीर्ष 10 वेब भेद्यता स्कैनर.
शीर्ष 10 भेद्यता स्कैनर
OWASP शीर्ष 10 उपकरण और रणनीतियाँ
वेब-आधारित एप्लिकेशन सुरक्षा स्कैनर
WebAppSec द्वारा वेब एप्लिकेशन सुरक्षा स्कैनर सूची
आरडीओटी फोरम पर इन्फोसेक उपयोगिताएँ
भेद्यता स्कैनर (विकिपीडिया)

लिनक्स वितरण जिसमें पहले से ही विभिन्न पेन्टिंग उपयोगिताओं का एक समूह शामिल है

upd: बर्पसुइट दस्तावेज़ीकरण "Hack4Sec" टीम से रूसी में (जोड़ा गया)। एंटोनकुज़मिन)

PS हम XSpider के बारे में चुप नहीं रह सकते। समीक्षा में भाग नहीं लेता है, हालांकि यह शेयरवेयर है (मुझे तब पता चला जब मैंने सेकलैब को लेख भेजा, वास्तव में इसकी वजह (ज्ञान नहीं, और नवीनतम संस्करण 7.8 की कमी) थी और मैंने इसे लेख में शामिल नहीं किया)। और सिद्धांत रूप में, इसकी समीक्षा की योजना बनाई गई थी (मैंने इसके लिए कठिन परीक्षण तैयार किए हैं), लेकिन मुझे नहीं पता कि दुनिया इसे देख पाएगी या नहीं।

पीपीएस लेख की कुछ सामग्री का उपयोग आगामी रिपोर्ट में अपने इच्छित उद्देश्य के लिए किया जाएगा कोडफेस्ट 2012 क्यूए अनुभाग में, जिसमें ऐसे उपकरण शामिल होंगे जिनका यहां उल्लेख नहीं किया गया है (निश्चित रूप से नि:शुल्क), साथ ही एल्गोरिदम, किस क्रम में क्या उपयोग करना है, किस परिणाम की उम्मीद करनी है, किस कॉन्फ़िगरेशन का उपयोग करना है और सभी प्रकार के संकेत और तरकीबें कब काम करना (मैं लगभग हर दिन रिपोर्ट के बारे में सोचता हूं, मैं आपको विषय विषय के बारे में सबसे अच्छा बताने की कोशिश करूंगा)
वैसे, इस लेख पर एक पाठ था इन्फोसेक डेज़ खोलें (हेब्रे पर टैग करें, वेबसाइट), कर सकना कोरोवंस को लूटो नज़र रखना सामग्री.

स्रोत: www.habr.com

वेब संसाधनों और अधिक का परीक्षण करने के लिए मुफ़्त टूल की समीक्षा v2