वैपिटी - कमजोरियों के लिए किसी साइट की स्वयं जाँच करना

पिछले लेख हमने इस बारे में बात की नेमेसिडा WAF मुफ़्त - वेबसाइटों और एपीआई को हैकर हमलों से बचाने के लिए एक मुफ़्त टूल, और इसमें हमने एक लोकप्रिय भेद्यता स्कैनर की समीक्षा करने का निर्णय लिया है वैपिति.

कमजोरियों के लिए किसी वेबसाइट को स्कैन करना एक आवश्यक उपाय है, जो स्रोत कोड के विश्लेषण के साथ मिलकर, आपको समझौता के खतरों के खिलाफ इसकी सुरक्षा के स्तर का आकलन करने की अनुमति देता है। आप विशेष उपकरणों का उपयोग करके किसी वेब संसाधन को स्कैन कर सकते हैं।

Nikto, W3af (पायथन 2.7 में लिखा गया है, जो अब समर्थित नहीं है) या Arachni (फरवरी से अब समर्थित नहीं है) फ्री सेगमेंट में प्रस्तुत सबसे लोकप्रिय समाधान हैं। निःसंदेह, अन्य भी हैं, उदाहरण के लिए, वेपिटी, जिस पर हमने ध्यान केंद्रित करने का निर्णय लिया है।

Wapiti निम्नलिखित प्रकार की कमजोरियों के साथ काम करती है:

• फ़ाइल विस्तार (स्थानीय और दूरस्थ, fopen, readfile);
• इंजेक्शन (PHP / JSP / ASP / SQL इंजेक्शन और XPath इंजेक्शन);
• XSS (क्रॉस साइट स्क्रिप्टिंग) (चिंतनशील और लगातार);
• आदेशों का पता लगाना और निष्पादन (eval(), system(), passtru());
• सीआरएलएफ इंजेक्शन (HTTP प्रतिक्रिया विभाजन, सत्र निर्धारण);
• XXE (XML बाहरी इकाई) एम्बेडिंग;
• एसएसआरएफ (सर्वर साइड रिक्वेस्ट फोर्जरी);
• ज्ञात संभावित खतरनाक फ़ाइलों का उपयोग (निक्टो डेटाबेस के लिए धन्यवाद);
• कमजोर .htaccess कॉन्फ़िगरेशन जिन्हें बायपास किया जा सकता है;
• बैकअप फ़ाइलों की उपस्थिति जो गोपनीय जानकारी प्रकट करती है (स्रोत कोड का खुलासा);
• मनोविकृति;
• रीडायरेक्ट खोलें;
• गैर-मानक HTTP विधियाँ जिन्हें हल किया जा सकता है (PUT)।

विशेषताएं:

• HTTP, HTTPS और SOCKS5 प्रॉक्सी समर्थन;
• कई तरीकों का उपयोग करके प्रमाणीकरण: बेसिक, डाइजेस्ट, केर्बरोस या एनटीएलएम;
• स्कैनिंग क्षेत्र (डोमेन, फ़ोल्डर, पेज, यूआरएल) को सीमित करने की क्षमता;
• URL में किसी एक पैरामीटर का स्वचालित निष्कासन;
• अंतहीन स्कैन लूप के खिलाफ कई सावधानियां (उदाहरण: आईफोर, एक पैरामीटर के लिए मूल्यों को सीमित करना);
• यूआरएल की जांच के लिए प्राथमिकता निर्धारित करने की क्षमता (भले ही वे स्कैनिंग क्षेत्र में न हों);
• कुछ यूआरएल को स्कैनिंग और हमलों से बाहर करने की क्षमता (उदाहरण के लिए: यूआरएल लॉगआउट);
• कुकीज़ आयात करें (उन्हें wapiti-getcookie टूल का उपयोग करके प्राप्त करें);
• एसएसएल प्रमाणपत्र सत्यापन को सक्रिय/निष्क्रिय करने की क्षमता;
• जावास्क्रिप्ट से यूआरएल निकालने की क्षमता (एक बहुत ही सरल जेएस दुभाषिया);
• HTML5 के साथ इंटरेक्शन;
• क्रॉलर व्यवहार और प्रतिबंधों के प्रबंधन के लिए कई विकल्प;
• स्कैनिंग प्रक्रिया के लिए अधिकतम समय निर्धारित करना;
• कुछ कस्टम HTTP शीर्षलेख जोड़ना या एक कस्टम उपयोगकर्ता-एजेंट स्थापित करना।

अतिरिक्त विशेषताएं:

• विभिन्न प्रारूपों (HTML, XML, JSON, TXT) में भेद्यता रिपोर्ट बनाना;
• स्कैन या हमले को रोकना और फिर से शुरू करना (SQLite3 डेटाबेस का उपयोग करके सत्र तंत्र);
• कमजोरियों को उजागर करने के लिए टर्मिनल में बैकलाइटिंग;
• लॉगिंग के विभिन्न स्तर;
• आक्रमण मॉड्यूल को सक्रिय/निष्क्रिय करने का एक त्वरित और आसान तरीका।

स्थापना

Wapiti का वर्तमान संस्करण 2 तरीकों से स्थापित किया जा सकता है:

• आधिकारिक से स्रोत डाउनलोड करें сайта और पहले से Python3 स्थापित करके इंस्टॉलेशन स्क्रिप्ट चलाएँ;
• pip3 इंस्टॉल wapiti3 कमांड का उपयोग करना।

इसके बाद वैपिटी जाने के लिए तैयार हो जाएगी।

उपकरण के साथ काम करना

वैपिटी के काम को प्रदर्शित करने के लिए, हम एक विशेष रूप से तैयार किए गए स्टैंड साइट्स.volns.pentestit.ru (आंतरिक संसाधन) का उपयोग करेंगे, जिसमें विभिन्न कमजोरियां (इंजेक्शन, एक्सएसएस, एलएफआई/आरएफआई) और वेब अनुप्रयोगों की अन्य कमियां शामिल होंगी।

जानकारी केवल सूचनात्मक उद्देश्यों के लिए प्रदान की गई है। कानून मत तोड़ो!

स्कैनर लॉन्च करने के लिए मूल आदेश:

# wapiti -u <target> <options>

साथ ही, बड़ी संख्या में लॉन्च विकल्पों के साथ काफी विस्तृत सहायता उपलब्ध है, उदाहरण के लिए:

--दायरा - आवेदन क्षेत्र
यदि आप क्रॉल यूआरएल के साथ स्कोप पैरामीटर निर्दिष्ट करते हैं, तो आप एक पेज और साइट पर पाए जा सकने वाले सभी पेज दोनों को निर्दिष्ट करके साइट के क्रॉलिंग क्षेत्र को समायोजित कर सकते हैं।

-s и -x - विशिष्ट यूआरएल जोड़ने या हटाने के विकल्प। ये विकल्प तब उपयोगी होते हैं जब आपको क्रॉल प्रक्रिया के दौरान किसी विशिष्ट URL को जोड़ने या हटाने की आवश्यकता होती है।

--छोडना - इस कुंजी के साथ निर्दिष्ट पैरामीटर स्कैन किया जाएगा, लेकिन हमला नहीं किया जाएगा। यदि कोई खतरनाक पैरामीटर हैं जिन्हें स्कैनिंग के दौरान बाहर करना सबसे अच्छा है तो उपयोगी है।

--सत्यापित-एसएसएल - प्रमाणपत्र सत्यापन सक्षम या अक्षम करें।
Wapiti स्कैनर मॉड्यूलर है। हालाँकि, विशिष्ट मॉड्यूल लॉन्च करने के लिए, जिसमें स्कैनर के चलने के दौरान स्वचालित रूप से कनेक्ट होने वाले मॉड्यूल भी शामिल हैं, आपको -m स्विच का उपयोग करना होगा और जिनकी आपको आवश्यकता है उन्हें अल्पविराम से अलग करके सूचीबद्ध करना होगा। यदि कुंजी का उपयोग नहीं किया जाता है, तो सभी मॉड्यूल डिफ़ॉल्ट रूप से काम करेंगे। सबसे सरल संस्करण में यह इस तरह दिखेगा:

# wapiti -u http://sites.vulns.pentestit.ru/ -m sql,xss,xxe

इस उपयोग उदाहरण का अर्थ है कि लक्ष्य को स्कैन करते समय हम केवल SQL, XSS और XXE मॉड्यूल का उपयोग करेंगे। इसके अलावा, आप वांछित विधि के आधार पर मॉड्यूल के संचालन को फ़िल्टर कर सकते हैं। उदाहरण के लिए -एम "एक्सएसएस: प्राप्त करें, ब्लाइंडएसक्यूएल: पोस्ट, एक्सएक्सई: पोस्ट". इस मामले में, मॉड्यूल XSS GET पद्धति और मॉड्यूल का उपयोग करके भेजे गए अनुरोधों पर लागू होगा blibdsql - अनुरोध आदि पोस्ट करने के लिए। वैसे, यदि सूची में शामिल कुछ मॉड्यूल की स्कैनिंग के दौरान आवश्यकता नहीं थी या बहुत लंबा समय लगता है, तो Ctrl + C संयोजन दबाकर आप इंटरैक्टिव मेनू में संबंधित आइटम का चयन करके वर्तमान मॉड्यूल का उपयोग करना छोड़ सकते हैं।

Wapiti एक कुंजी का उपयोग करके प्रॉक्सी के माध्यम से अनुरोध पारित करने का समर्थन करता है -p और पैरामीटर के माध्यम से लक्ष्य साइट पर प्रमाणीकरण -a. आप प्रमाणीकरण प्रकार भी निर्दिष्ट कर सकते हैं: बुनियादी, संग्रह, करबरोस и NTLM. अंतिम दो को अतिरिक्त मॉड्यूल की स्थापना की आवश्यकता हो सकती है। इसके अलावा, आप अनुरोधों में कोई भी हेडर सम्मिलित कर सकते हैं (मनमाना सहित)। उपयोगकर्ता-एजेंट) और भी बहुत कुछ।

प्रमाणीकरण का उपयोग करने के लिए आप टूल का उपयोग कर सकते हैं wapiti-getकुकी. इसकी सहायता से हम निर्माण करते हैं कुकी, जिसे Wapiti स्कैन करते समय उपयोग करेगा। गठन कुकी आदेश के साथ किया गया:

# wapiti-getcookie -u http://sites.vulns.pentestit.ru/login.php -c cookie.json

इंटरैक्टिव तरीके से काम करते हुए, हम सवालों के जवाब देते हैं और आवश्यक जानकारी जैसे लॉगिन, पासवर्ड आदि बताते हैं:

आउटपुट JSON प्रारूप में एक फ़ाइल है। दूसरा विकल्प पैरामीटर के माध्यम से सभी आवश्यक जानकारी जोड़ना है -d:

# wapiti-getcookie - http://sites.vulns.pentestit.ru/login.php -c cookie.json -d "username=admin&password=admin&enter=submit"

परिणाम समान होगा:

स्कैनर की मुख्य कार्यक्षमता पर विचार करते समय, हमारे मामले में वेब एप्लिकेशन के परीक्षण के लिए अंतिम अनुरोध था:

# wapiti --level 1 -u http://sites.vulns.pentestit.ru/ -f html -o /tmp/vulns.html -m all --color -с cookie.json --scope folder --flush-session -A 'Pentestit Scans' -p http://proxy.office.pentestit.ru:3128

जहां अन्य मापदंडों के बीच:

-f и -o - रिपोर्ट को सहेजने के लिए प्रारूप और पथ;

-m — सभी मॉड्यूल को कनेक्ट करने की अनुशंसा नहीं की जाती है, क्योंकि परीक्षण समय और रिपोर्ट आकार को प्रभावित करेगा;

--रंग - वैपिटी के अनुसार उनकी गंभीरता के आधार पर पाई गई कमजोरियों को उजागर करें;

-c - के साथ एक फ़ाइल का उपयोग करना कुकी, का उपयोग करके उत्पन्न किया गया wapiti-getकुकी;

--दायरा - हमले के लिए लक्ष्य चुनना। एक विकल्प का चयन करना फोल्डर प्रत्येक यूआरएल को क्रॉल किया जाएगा और उस पर हमला किया जाएगा, जिसकी शुरुआत मूल यूआरएल से होगी। आधार यूआरएल में फॉरवर्ड स्लैश होना चाहिए (कोई फ़ाइल नाम नहीं);

--फ्लश-सत्र - बार-बार स्कैनिंग की अनुमति देता है, जिसमें पिछले परिणामों को ध्यान में नहीं रखा जाएगा;

-A - अपना उपयोगकर्ता-एजेंट;

-p - यदि आवश्यक हो तो प्रॉक्सी सर्वर पता।

रिपोर्ट के बारे में थोड़ा

स्कैनिंग परिणाम स्पष्ट और पढ़ने में आसान रूप में HTML पेज प्रारूप में सभी पाई गई कमजोरियों पर एक विस्तृत रिपोर्ट के रूप में प्रस्तुत किया गया है। रिपोर्ट श्रेणियों और पाई गई कमजोरियों की संख्या, उनके विवरण, अनुरोध, आदेशों को इंगित करेगी कर्ल और उन्हें बंद करने के तरीके पर सुझाव। नेविगेशन में आसानी के लिए श्रेणी के नामों में एक लिंक जोड़ा जाएगा, जिस पर क्लिक करके आप इस पर जा सकते हैं:

रिपोर्ट का एक महत्वपूर्ण नुकसान वेब एप्लिकेशन मैप की अनुपस्थिति है, जिसके बिना यह स्पष्ट नहीं होगा कि सभी पते और मापदंडों का विश्लेषण किया गया है या नहीं। झूठी सकारात्मकता की भी संभावना है। हमारे मामले में, रिपोर्ट में "बैकअप फ़ाइलें" और "संभावित रूप से खतरनाक फ़ाइलें" शामिल हैं। उनकी संख्या वास्तविकता के अनुरूप नहीं है, क्योंकि सर्वर पर ऐसी कोई फ़ाइलें नहीं थीं:

शायद गलत तरीके से काम करने वाले मॉड्यूल समय के साथ ठीक हो जाएंगे। रिपोर्ट का एक और दोष पाया गया कमजोरियों के रंग की कमी (उनकी गंभीरता के आधार पर), या कम से कम उन्हें श्रेणियों में विभाजित करना है। एकमात्र तरीका जिससे हम अप्रत्यक्ष रूप से पाई गई भेद्यता की गंभीरता को समझ सकते हैं वह है पैरामीटर का उपयोग करना --रंग स्कैनिंग के दौरान, और फिर पाई गई कमजोरियाँ अलग-अलग रंगों में रंगी जाएंगी:

लेकिन रिपोर्ट स्वयं ऐसा रंग प्रदान नहीं करती है।

कमजोरियों

एसक्यूआई

स्कैनर आंशिक रूप से SQLi खोज से मुकाबला करता है। उन पृष्ठों पर SQL भेद्यताएँ खोजते समय जहाँ प्रमाणीकरण की आवश्यकता नहीं है, कोई समस्या उत्पन्न नहीं होती:

केवल प्रमाणीकरण के बाद पहुंच योग्य पृष्ठों पर भेद्यता का पता लगाना संभव नहीं था, यहां तक ​​कि वैध का उपयोग करके भी कुकी, चूंकि सफल प्रमाणीकरण के बाद सबसे अधिक संभावना है, उनका सत्र "लॉग आउट" हो जाएगा और कुकी अमान्य हो जाएगा. यदि इस प्रक्रिया को संसाधित करने के लिए जिम्मेदार एक अलग स्क्रिप्ट के रूप में डीऑथराइजेशन फ़ंक्शन को लागू किया गया था, तो इसे -x पैरामीटर के माध्यम से पूरी तरह से बाहर करना संभव होगा, और इस तरह इसे ट्रिगर होने से रोका जा सकेगा। अन्यथा, इसके प्रसंस्करण को बाहर करना संभव नहीं होगा। यह किसी विशिष्ट मॉड्यूल के साथ समस्या नहीं है, बल्कि संपूर्ण उपकरण के साथ है, लेकिन इस बारीकियों के कारण, एक बंद संसाधन क्षेत्र में कई इंजेक्शनों का पता लगाना संभव नहीं था।

XSS

स्कैनर ने दिए गए कार्य को पूरी तरह से पूरा किया और सभी तैयार कमजोरियाँ पाईं:

एलएफआई/आरएफआई

स्कैनर को सभी अंतर्निहित कमजोरियाँ मिलीं:

सामान्य तौर पर, झूठी सकारात्मकताओं और गायब कमजोरियों के बावजूद, एक मुफ़्त टूल के रूप में, वैपिटी, बहुत अच्छे प्रदर्शन परिणाम दिखाता है। किसी भी मामले में, यह पहचानने योग्य है कि स्कैनर काफी शक्तिशाली, लचीला और बहुक्रियाशील है, और सबसे महत्वपूर्ण बात यह है कि यह मुफ़्त है, इसलिए इसे प्रशासकों और डेवलपर्स को वेब की सुरक्षा स्थिति के बारे में बुनियादी जानकारी प्राप्त करने में मदद करने के लिए उपयोग करने का अधिकार है। आवेदन पत्र।

स्वस्थ और सुरक्षित रहें!

स्रोत: www.habr.com