Wapiti - ịlele saịtị maka adịghị ike n'onwe ya

Na nke ikpeazu ederede anyị kwuru banyere ya Nemesida WAF Free - ngwa n'efu maka ichedo webụsaịtị na API site na mwakpo hacker, na nke a anyị kpebiri inyocha nyocha ihe ọghọm na-ewu ewu. Wapiti.

Nyochaa webụsaịtị maka adịghị ike bụ ihe dị mkpa, nke, yana nyocha nke koodu isi mmalite, na-enye gị ohere ịlele ọkwa nke nchekwa ya megide iyi egwu nke imebi. Ị nwere ike nyochaa akụrụngwa weebụ site na iji ngwaọrụ pụrụ iche.

Nikto, W3af (nke edere na Python 2.7, nke anaghịzi akwado) ma ọ bụ Arachni (anaghị akwado ya kemgbe February) bụ ihe ngwọta kachasị ewu ewu ewepụtara na ngalaba efu. N'ezie, e nwere ndị ọzọ, dịka ọmụmaatụ, Wapiti, nke anyị kpebiri ilekwasị anya na ya.

Wapiti na-arụ ọrụ na ụdị adịghị ike ndị a:

• mgbasawanye faịlụ (mpaghara na nke dịpụrụ adịpụ, fopen, readfile);
• injections (PHP / JSP / ASP / SQL injection na XPath injections);
• XSS (edemede n'ofe saịtị) (na-atụgharị uche ma na-adịgide adịgide);
• nchọpụta na igbu nke iwu (eval(), system(), passtru());
• CRLF injections (nkewa nzaghachi HTTP, nhazi oge);
• XXE (Mpụta XML) ntinye;
• SSRF (Arịrịọ Arịrịọ n'akụkụ sava);
• iji faịlụ ndị ama ama nwere ike ịdị ize ndụ (n'ihi nchekwa data Nikto);
• adịghị ike .htaccess nhazi nke nwere ike gafere;
• ọnụnọ nke faịlụ ndabere nke na-ekpughe ozi nzuzo (mkpughe nke koodu isi);
• Shellshock;
• oghe redirects;
• Ụzọ HTTP na-abụghị ọkọlọtọ nke enwere ike idozi (PUT).

Atụmatụ:

• HTTP, HTTPS na SOCKS5 nkwado proxy;
• nkwenye site na iji ọtụtụ ụzọ: Basic, Digest, Kerberos ma ọ bụ NTLM;
• ikike igbochi mpaghara nyocha (ngalaba, nchekwa, ibe, URL);
• akpaghị aka iwepụ otu n'ime paramita dị na URL;
• ọtụtụ ịkpachara anya megide loops nyocha na-adịghị agwụ agwụ (ihe atụ: ifor, mmachi ụkpụrụ maka oke);
• ike ịtọ ụzọ maka nyocha URL (ọbụlagodi na ha anọghị na mpaghara nyocha);
• ike ịwepụ ụfọdụ URL na nyocha na ọgụ (dịka ọmụmaatụ: URL logout);
• bubata kuki (nweta ha site na iji ngwa wapiti-getcookie);
• ikike ịgbalite / gbanyụọ nkwenye asambodo SSL;
• ikike ịwepụ URL na Javascript (nsụgharị JS dị mfe);
• mmekọrịta na HTML5;
• ọtụtụ nhọrọ maka ijikwa omume crawler na mgbochi;
• ịtọ oge kachasị maka usoro nyocha;
• na-agbakwụnye ụfọdụ nkụnye eji isi mee HTTP ma ọ bụ melite onye ọrụ-onye ọrụ omenala.

Atụmatụ ndị ọzọ:

• imepụta akụkọ adịghị ike n'ụdị dị iche iche (HTML, XML, JSON, TXT);
• ịkwụsịtụ na ịmaliteghachi nyocha ma ọ bụ ọgụ (usoro nnọkọ na-eji ọdụ data SQLite3);
• ọkụ azụ na njedebe iji gosipụta adịghị ike;
• ọkwa dị iche iche nke osisi;
• Ụzọ dị ngwa na dị mfe iji rụọ ọrụ / gbanyụọ modul ọgụ.

ọnọdụ

Enwere ike itinye ụdị Wapiti dị ugbu a n'ụzọ abụọ:

• download isi iyi si na ukara saịtị ma mee script nwụnye, ebe etinyere Python3 na mbụ;
• iji pip3 wụnye iwu wapiti3.

Mgbe nke a gasịrị, Wapiti ga-adị njikere ịga.

Na-arụ ọrụ na ngwá ọrụ

Iji gosi ọrụ nke Wapiti, anyị ga-eji a pụrụ iche njikere sites.vulns.pentestit.ru (internal resource), nwere dị iche iche vulnerabilities (Injection, XSS, LFI/RFI) na ndị ọzọ adịghị ike nke ngwa weebụ.

Enyere ozi a maka ebumnuche ozi naanị. Emebila iwu!

Iwu bụ isi ka ịmalite nyocha nyocha:

# wapiti -u <target> <options>

N'otu oge ahụ, enwere enyemaka zuru oke na ọtụtụ nhọrọ mmalite, dịka ọmụmaatụ:

--obosara - mpaghara ngwa
Ọ bụrụ na ị kọwapụta oke oke yana URL crwl, ị nwere ike ịhazigharị mpaghara nyocha saịtị ahụ site na ịkọwapụta ma otu ibe yana ibe niile enwere ike ịhụ na saịtị ahụ.

-s и -x - nhọrọ ịgbakwunye ma ọ bụ wepu URL ndị akọwapụtara. Nhọrọ ndị a bara uru mgbe ịchọrọ ịgbakwunye ma ọ bụ wepu URL a kapịrị ọnụ n'oge usoro iri arị.

--gaba - A ga-enyocha oke akọwapụtara na igodo a, mana agaghị ebuso ya agha. Ọ bara uru ma ọ bụrụ na enwere paramita dị ize ndụ nke kacha mma ewepụrụ n'oge nyocha.

--nyochaa-ssl - gbanye ma ọ bụ gbanyụọ nkwenye akwụkwọ.
Ihe nyocha Wapiti bụ modular. Otú ọ dị, iji malite modul kpọmkwem, gụnyere ndị na-ejikọta na-akpaghị aka mgbe nyocha na-agba ọsọ, ịkwesịrị iji -m switch wee depụta ndị ịchọrọ, nke rịkọm kewapụrụ. Ọ bụrụ na ejighị igodo ahụ, mgbe ahụ, modul niile ga-arụ ọrụ na ndabara. Na ụdị kachasị mfe ọ ga-adị ka nke a:

# wapiti -u http://sites.vulns.pentestit.ru/ -m sql,xss,xxe

Ihe atụ ojiji a pụtara na anyị ga-eji modul SQL, XSS na XXE naanị mgbe anyị na-enyocha ebumnuche. Na mgbakwunye, ị nwere ike nyochaa ọrụ nke modul dabere na usoro achọrọ. Ọmụmaatụ -m "xss: nweta, blindsql: biputere, xxe: biputere". N'okwu a, modul xss ga-etinye aka na arịrịọ ezigara site na iji usoro GET, yana modul blidsql - ka POST arịrịọ, wdg. Site n'ụzọ, ọ bụrụ na ụfọdụ modul etinyere na ndepụta ahụ adịghị mkpa n'oge nyocha ma ọ bụ na-ewe ogologo oge, mgbe ahụ site na ịpị njikọ Ctrl + C ị nwere ike ịwụpụ site na iji modul dị ugbu a site na ịhọrọ ihe kwekọrọ na menu mmekọrịta.

Wapiti na-akwado ịnyefe arịrịọ site na proxy site na iji igodo -p na nyocha na saịtị ebumnuche site na oke -a. Ị nwekwara ike ịkọwapụta ụdị njirimara: Isi, Mgbari, Kerberos и NTLM. Abụọ ikpeazụ nwere ike ịchọ ntinye nke modul ndị ọzọ. Na mgbakwunye, ị nwere ike itinye nkụnye eji isi mee n'ime arịrịọ (gụnyere aka ike Onye ọrụ-Agent) na ọtụtụ ndị ọzọ.

Iji jiri nyocha ị nwere ike iji ngwa ahụ wapiti-getkuki. Site n'enyemaka ya, anyị na-etolite kuki, nke Wapiti ga-eji mgbe nyocha. Nhazi kuki Emere ya na iwu:

# wapiti-getcookie -u http://sites.vulns.pentestit.ru/login.php -c cookie.json

Ka anyị na-arụkọ ọrụ ọnụ, anyị na-aza ajụjụ wee gosi ozi ndị dị mkpa dị ka nbanye, paswọọdụ, wdg.

Mpụta bụ faịlụ n'ụdị JSON. Nhọrọ ọzọ bụ ịgbakwunye ozi niile dị mkpa site na oke -d:

# wapiti-getcookie - http://sites.vulns.pentestit.ru/login.php -c cookie.json -d "username=admin&password=admin&enter=submit"

Nsonaazụ ga-adị ka:

Mgbe ị na-atụle isi ọrụ nke nyocha nyocha, arịrịọ ikpeazụ maka ịnwale ngwa weebụ n'ọnọdụ anyị bụ:

# wapiti --level 1 -u http://sites.vulns.pentestit.ru/ -f html -o /tmp/vulns.html -m all --color -с cookie.json --scope folder --flush-session -A 'Pentestit Scans' -p http://proxy.office.pentestit.ru:3128

ebe n'etiti ndị ọzọ parameters:

-f и -o - usoro na ụzọ maka ịchekwa akụkọ;

-m - ijikọ modulu niile adịghị atụ aro, n'ihi na ga-emetụta oge ule na nha akụkọ;

--agba - pụta ìhè hụrụ adịghị ike dabere na mkpa ha dị ka Wapiti n'onwe ya;

-c - iji faịlụ na kuki, emepụtara site na iji wapiti-getkuki;

--obosara - ịhọrọ ebumnuche maka mbuso agha. Ịhọrọ nhọrọ nchekwa A ga-akpụgharị URL ọ bụla wee wakpo ya, malite na nke isi. URL ntọala ga-enwerịrị slash n'ihu (enweghị aha faịlụ);

--mkpochapụ-nnọkọ - na-enye ohere maka nyocha ugboro ugboro, nke a gaghị eburu n'uche nsonaazụ gara aga;

-A - nke onwe Onye ọrụ-Agent;

-p - adreesị ihe nkesa proxy, ọ bụrụ na ọ dị mkpa.

Obere maka akụkọ ahụ

A na-egosi nsonaazụ nyocha ahụ n'ụdị nkọwa zuru oke na adịghị ike niile achọpụtara na ụdị ibe HTML, n'ụdị doro anya ma dị mfe ọgụgụ. Akụkọ ahụ ga-egosi edemede na ọnụọgụ nke adịghị ike ahụ, nkọwa ha, arịrịọ, iwu maka curl na ndụmọdụ ka esi emechi ha. Maka mfe ịnyagharị, a ga-agbakwunye njikọ na aha ngalaba, na ịpị nke ị nwere ike ịga na ya:

Ihe ọghọm dị ukwuu nke akụkọ a bụ enweghị maapụ ngwa weebụ dị ka nke a, na-enweghị nke ọ gaghị edo anya ma enyochala adreesị na paramita niile. Enwekwara ike nke ụgha. N'ọnọdụ anyị, akụkọ ahụ gụnyere "faịlụ ndabere" na "faịlụ nwere ike ịdị ize ndụ." Ọnụọgụ ha adabaghị n'eziokwu, ebe ọ bụ na enweghị faịlụ dị otú ahụ na sava ahụ:

Ikekwe modul na-arụ ọrụ na-ezighi ezi ga-edozi ka oge na-aga. Ihe ndọghachi azụ ọzọ nke akụkọ ahụ bụ enweghị agba agba nke adịghị ike ndị a chọtara (dabere na oke mkpa ha), ma ọ bụ ma ọ dịkarịa ala kewaa ha n'ime edemede. Naanị otu anyị nwere ike isi ghọta n'ụzọ dị egwu nke adịghị ike ahụ bụ iji paramita ahụ --agba n'oge nyocha, na mgbe ahụ, adịghị ike ahụ achọtara ga-acha na agba dị iche iche:

Ma akụkọ ahụ n'onwe ya adịghị enye agba agba dị otú ahụ.

adịghị ike

SQLi

Ihe nyocha ahụ nagidere ọchụchọ SQLi nke ọma. Mgbe ị na-achọ adịghị ike SQL na ibe ebe a na-achọghị nyocha, ọ nweghị nsogbu na-ebilite:

Ọ gaghị ekwe omume ịchọta adịghị ike na ibe ndị a na-enweta naanị mgbe nyochachara, ọbụlagodi na-eji nke ọma kuki, ebe ọ bụ na o yikarịrị ka emechara nyocha nke ọma, a ga-ewepụ nnọkọ ha na kuki ga-abụ ihe na-adịghị mma. Ọ bụrụ na etinyere ọrụ nnabata ikike dị ka edemede dị iche maka ịhazi usoro a, mgbe ahụ ọ ga-ekwe omume iwepụ ya kpamkpam site na parameter -x, wee gbochie ya ịkpalite. Ma ọ bụghị ya, ọ gaghị ekwe omume iwepụ nhazi ya. Nke a abụghị nsogbu na otu modul, ma na ngwá ọrụ n'ozuzu ya, ma n'ihi nuance a, ọ gaghị ekwe omume ịchọpụta ọtụtụ injections na mpaghara mechiri emechi.

XSS

Ihe nyocha ahụ nagidere ọrụ enyere ya nke ọma wee chọpụta adịghị ike niile a kwadoro:

LFI/RFI

Ihe nyocha ahụ hụrụ adịghị ike niile dị n'okpuru:

N'ozuzu, n'agbanyeghị ụgha adịgboroja na efu adịghị ike, Wapiti, dị ka a free ngwá ọrụ, na-egosi mara mma arụmọrụ arụmọrụ. N'ọnọdụ ọ bụla, ọ bara uru ịghọta na nyocha ahụ dị nnọọ ike, na-agbanwe agbanwe na multifunctional, na nke kachasị mkpa, ọ bụ n'efu, ya mere ọ nwere ikike iji mee ihe n'inyere ndị nchịkwa na ndị mmepe aka inweta ozi bụ isi banyere ọnọdụ nchekwa nke weebụ. ngwa.

Nwee ahụ ike ma chekwaa!

isi: www.habr.com