כלי אינטרנט, או מאיפה להתחיל בתור pentester?

המשך לדבר על כלים שימושיים עבור חודרים. במאמר החדש נבחן כלים לניתוח האבטחה של אפליקציות אינטרנט.

הקולגה שלנו BeLove כבר עשיתי משהו כזה הַהדָרָה לפני כשבע שנים. מעניין לראות אילו כלים שמרו וחיזקו את עמדותיהם, ואילו מהם נמוגו ברקע וכיום כמעט ולא משתמשים בהם.


שימו לב שזה כולל גם את Burp Suite, אבל יהיה פרסום נפרד על זה ועל התוספים השימושיים שלה.

תוכן:

• לִצְבּוֹר
• Altdns
• אקוואטון
• MassDNS
• nsec3map
• Acunetix
• Dirsearch
• wfuzz
• פוף
• גובאסטר
• ארג'ון
• LinkFinder
• JSParser
• sqlmap
• NoSQLMap
• oxml_xxe
• tplmap
• CeWL
• חלש מעבר
• AEM_hacker
• JoomScan
• WPScan

לִצְבּוֹר

לִצְבּוֹר - כלי Go לחיפוש ומיון של תת-דומיינים של DNS ומיפוי הרשת החיצונית. אמאס הוא פרויקט OWASP שנועד להראות איך נראים ארגונים באינטרנט בעיני מבחוץ. Amass משיג שמות תת-דומיינים בדרכים שונות; הכלי משתמש גם בספירה רקורסיבית של תת-דומיינים וגם בחיפושי קוד פתוח.

כדי לגלות מקטעי רשת מחוברים ומספרי מערכות אוטונומיות, Amass משתמש בכתובות IP המתקבלות במהלך הפעולה. כל המידע שנמצא משמש לבניית מפת רשת.

יתרונות:

• טכניקות איסוף מידע כוללות:
  * DNS - חיפוש מילוני של תת-דומיינים, תת-דומיינים של bruteforce, חיפוש חכם באמצעות מוטציות המבוססות על תת-דומיינים שנמצאו, שאילתות DNS הפוך וחיפוש שרתי DNS בהם ניתן לבצע בקשת העברת אזור (AXFR);

  * חיפוש קוד פתוח - Ask, Baidu, Bing, CommonCrawl, DNSDB, DNSDumpster, DNSTable, Dogpile, Exalead, FindSubdomains, Google, IPv4Info, Netcraft, PTRArchive, Riddler, SiteDossier, ThreatCrowd, VirusTotal, Yahoo;

  * חיפוש במאגרי מידע של תעודות TLS - Censys, CertDB, CertSpotter, Crtsh, Entrust;

  * שימוש בממשקי API של מנוע חיפוש - BinaryEdge, BufferOver, CIRCL, HackerTarget, PassiveTotal, Robtex, SecurityTrails, Shodan, Twitter, Umbrella, URLScan;

  * חיפוש בארכיוני אינטרנט באינטרנט: ArchiveIt, ArchiveToday, Arquivo, LoCArchive, OpenUKArchive, UKGovArchive, Wayback;

• אינטגרציה עם Maltego;
• מספק את הכיסוי השלם ביותר של משימת חיפוש תת-דומיינים של DNS.

חסרונות:

• היזהר עם amass.netdomains - הוא ינסה ליצור קשר עם כל כתובת IP בתשתית שזוהתה ולהשיג שמות דומיין מחיפושי DNS הפוכים ותעודות TLS. זוהי טכניקה "בפרופיל גבוה", היא יכולה לחשוף את פעילות המודיעין שלך בארגון הנחקר.
• צריכת זיכרון גבוהה, יכולה לצרוך עד 2 GB של זיכרון RAM בהגדרות שונות, מה שלא יאפשר לכם להפעיל את הכלי הזה בענן על VDS זול.

Altdns

Altdns - כלי Python להרכבת מילונים לספירת תת-דומיינים של DNS. מאפשר לך ליצור גרסאות רבות של תת-דומיינים באמצעות מוטציות ותמורות. לשם כך, נעשה שימוש במילים שנמצאות לרוב בתת-דומיינים (לדוגמה: test, dev, staging), כל המוטציות והתמורות מוחלות על תת-דומיינים ידועים כבר, אותם ניתן להגיש לקלט Altdns. הפלט הוא רשימה של וריאציות של תת-דומיינים שיכולים להתקיים, וניתן להשתמש ברשימה זו מאוחר יותר עבור DNS brute force.

יתרונות:

• עובד היטב עם מערכי נתונים גדולים.

אקוואטון

אקוואטון - היה ידוע בעבר ככלי נוסף לחיפוש תת-דומיינים, אך המחבר עצמו זנח זאת לטובת האמאס הנ"ל. כעת aquatone נכתב מחדש ב-Go והוא מכוון יותר לסיור מקדים באתרי אינטרנט. לשם כך, aquatone עוברת על הדומיינים המצוינים ומחפשת אתרים בפורטים שונים, ולאחר מכן היא אוספת את כל המידע על האתר ומבצעת צילום מסך. נוח לסיור מקדים מהיר של אתרי אינטרנט, ולאחריו ניתן לבחור יעדים מועדפים להתקפות.

יתרונות:

• הפלט יוצר קבוצה של קבצים ותיקיות שנוחים לשימוש בעת עבודה נוספת עם כלים אחרים:
  * דוח HTML עם צילומי מסך שנאספו וכותרות תגובות מקובצות לפי דמיון;

  * קובץ עם כל כתובות האתרים שבהם נמצאו אתרים;

  * קובץ עם נתונים סטטיסטיים ונתוני עמוד;

  * תיקיה עם קבצים המכילים כותרות תגובה ממטרות שנמצאו;

  * תיקייה עם קבצים המכילים את גוף התגובה מהמטרות שנמצאו;

  * צילומי מסך של אתרים שנמצאו;

• תומך בעבודה עם דוחות XML מ-Nmap ומ-Mascan;
• משתמש בכרום/Chromium ללא ראש לעיבוד צילומי מסך.

חסרונות:

• זה עשוי למשוך את תשומת הלב של מערכות זיהוי חדירה, ולכן הוא דורש תצורה.

צילום המסך צולם עבור אחת מהגרסאות הישנות של aquatone (v0.5.0), שבה הוטמע חיפוש תת-דומיין של DNS. גרסאות ישנות יותר ניתן למצוא ב עמוד משחרר.

MassDNS

MassDNS הוא כלי נוסף למציאת תת-דומיינים של DNS. ההבדל העיקרי שלה הוא שהיא מבצעת שאילתות DNS ישירות לפותרי DNS רבים ושונים ועושה זאת במהירות ניכרת.

יתרונות:

• מהיר - מסוגל לפתור יותר מ-350 אלף שמות בשנייה.

חסרונות:

• MassDNS יכול לגרום לעומס משמעותי על פותרי ה-DNS שנמצאים בשימוש, מה שעלול להוביל לאיסור על שרתים אלה או לתלונות בפני ספק שירותי האינטרנט שלך. בנוסף, היא תטיל עומס גדול על שרתי ה-DNS של החברה, אם יש להם ואם הם אחראים על הדומיינים שאתם מנסים לפתור.
• רשימת הפותרים מיושנת כרגע, אבל אם תבחר את פותרי ה-DNS השבורים ותוסיף ידועים חדשים, הכל יהיה בסדר.

צילום מסך של aquatone v0.5.0

nsec3map

nsec3map הוא כלי Python להשגת רשימה מלאה של דומיינים המוגנים על ידי DNSSEC.

יתרונות:

• מגלה במהירות מארחים באזורי DNS עם מספר מינימלי של שאילתות אם תמיכת DNSSEC מופעלת באזור;
• כולל תוסף לג'ון המרטש שניתן להשתמש בו כדי לפצח את הגיבובים של NSEC3 שנוצרו.

חסרונות:

• שגיאות DNS רבות אינן מטופלות כהלכה;
• אין הקבלה אוטומטית של עיבוד רשומות NSEC - עליך לחלק את מרחב השמות באופן ידני;
• צריכת זיכרון גבוהה.

Acunetix

Acunetix - סורק פגיעות אינטרנט הממכן את תהליך בדיקת האבטחה של יישומי אינטרנט. בודק את האפליקציה עבור הזרקות SQL, XSS, XXE, SSRF ועוד פרצות אינטרנט רבות אחרות. עם זאת, כמו כל סורק אחר, מגוון נקודות תורפה ברשת אינן מחליפות פנטסטר, שכן הוא אינו יכול למצוא שרשראות מורכבות של נקודות תורפה או נקודות תורפה בלוגיקה. אבל זה מכסה הרבה פגיעויות שונות, כולל CVEs שונות, שאולי הפנטסטר שכח מהן, כך שזה מאוד נוח לשחרר אותך מבדיקות שגרתיות.

יתרונות:

• רמה נמוכה של תוצאות חיוביות שגויות;
• ניתן לייצא תוצאות כדוחות;
• מבצע מספר רב של בדיקות לאיתור נקודות תורפה שונות;
• סריקה מקבילה של מספר מארחים.

חסרונות:

• אין אלגוריתם של ביטול כפילות (Acunetix תחשב שעמודים זהים בפונקציונליות הם שונים, מכיוון שהם מובילים לכתובות URL שונות), אבל המפתחים עובדים על זה;
• דורש התקנה על שרת אינטרנט נפרד, מה שמקשה על בדיקת מערכות לקוח עם חיבור VPN ושימוש בסורק בקטע מבודד של רשת הלקוח המקומית;
• השירות הנבדק עלול להרעיש, למשל, על ידי שליחת וקטורי תקיפה רבים מדי לטופס יצירת הקשר באתר, ובכך לסבך מאוד את התהליכים העסקיים;
• זהו פתרון קנייני ובהתאם לא חינמי.

Dirsearch

Dirsearch - כלי Python לאלץ ספריות וקבצים באתרי אינטרנט.

יתרונות:

• יכול להבחין בין דפי "200 בסדר" אמיתיים לבין דפי "200 בסדר", אבל עם הטקסט "דף לא נמצא";
• מגיע עם מילון שימושי עם איזון טוב בין גודל ויעילות חיפוש. מכיל נתיבים סטנדרטיים המשותפים ל-CMS וערימות טכנולוגיה רבות;
• פורמט מילון משלו, המאפשר לך להשיג יעילות וגמישות טובים בספירת קבצים וספריות;
• פלט נוח - טקסט רגיל, JSON;
• זה יכול לעשות מצערת - הפסקה בין בקשות, שהיא חיונית עבור כל שירות חלש.

חסרונות:

• יש להעביר הרחבות כמחרוזת, וזה לא נוח אם אתה צריך להעביר הרחבות רבות בבת אחת;
• על מנת להשתמש במילון שלך, יהיה צורך לשנות אותו מעט לפורמט המילון Dirsearch ליעילות מירבית.

wfuzz

wfuzz - Fuzzer של יישומי אינטרנט של Python. כנראה אחד מהפאזרים המפורסמים ביותר ברשת. העיקרון פשוט: wfuzz מאפשר לך לשלב כל מקום בבקשת HTTP, מה שמאפשר לשלב פרמטרים של GET/POST, כותרות HTTP, כולל Cookie וכותרות אימות אחרות. יחד עם זאת, זה גם נוח לכוח גס פשוט של ספריות וקבצים, שעבורם אתה צריך מילון טוב. כמו כן, יש לו מערכת סינון גמישה, באמצעותה ניתן לסנן תגובות מהאתר לפי פרמטרים שונים, מה שמאפשר להגיע לתוצאות אפקטיביות.

יתרונות:

• רב תכליתי - מבנה מודולרי, ההרכבה נמשכת מספר דקות;
• מנגנון סינון וטשטוש נוח;
• אתה יכול לשלב כל שיטת HTTP, כמו גם כל מקום בבקשת HTTP.

חסרונות:

• בפיתוח.

פוף

פוף - fuzzer אינטרנט ב-Go, שנוצר ב"תמונה ודמיון" של wfuzz, מאפשר לך ליצור קבצים, ספריות, נתיבי URL, שמות וערכים של פרמטרי GET/POST, כותרות HTTP, כולל כותרת Host עבור brute force של מארחים וירטואליים. wfuzz שונה מאחיו במהירות גבוהה יותר ובכמה תכונות חדשות, למשל, הוא תומך במילונים בפורמט Dirsearch.

יתרונות:

• מסננים דומים למסנני wfuzz, הם מאפשרים לך להגדיר בצורה גמישה כוח גס;
• מאפשר לך לטשטש ערכי כותרות HTTP, נתוני בקשת POST וחלקים שונים של כתובת האתר, כולל שמות וערכים של פרמטרים של GET;
• אתה יכול לציין כל שיטת HTTP.

חסרונות:

• בפיתוח.

גובאסטר

גובאסטר - כלי Go לסיור, בעל שני מצבי פעולה. הראשון משמש ל-Brute Force קבצים וספריות באתר אינטרנט, השני משמש ל-Brute Force תת-דומיינים של DNS. הכלי אינו תומך בתחילה בספירה רקורסיבית של קבצים וספריות, מה שכמובן חוסך זמן, אך מצד שני, יש להפעיל בנפרד את הכוח הגס של כל נקודת קצה חדשה באתר.

יתרונות:

• מהירות פעולה גבוהה הן עבור חיפוש כוח גס של תת-דומיינים של DNS והן עבור כח גס של קבצים וספריות.

חסרונות:

• הגרסה הנוכחית אינה תומכת בהגדרת כותרות HTTP;
• כברירת מחדל, רק חלק מקודי המצב של HTTP (200,204,301,302,307) נחשבים תקפים.

ארג'ון

ארג'ון - כלי לכוח גס של פרמטרי HTTP נסתרים בפרמטרים של GET/POST, כמו גם ב-JSON. המילון המובנה מכיל 25 מילים, אותן אג'רון בודק תוך כמעט 980 שניות. החוכמה היא ש-Ajrun לא בודק כל פרמטר בנפרד, אלא בודק ~30 פרמטרים בכל פעם ורואה אם ​​התשובה השתנתה. אם התשובה השתנתה, הוא מחלק את 1000 הפרמטרים הללו לשני חלקים ובודק איזה מהחלקים הללו משפיע על התשובה. לפיכך, באמצעות חיפוש בינארי פשוט, נמצא פרמטר או מספר פרמטרים נסתרים שהשפיעו על התשובה ולכן עשויים להתקיים.

יתרונות:

• מהירות גבוהה עקב חיפוש בינארי;
• תמיכה בפרמטרים של GET/POST, כמו גם פרמטרים בצורת JSON;

התוסף עבור Burp Suite עובד על עיקרון דומה - param-miner, שהוא גם טוב מאוד באיתור פרמטרי HTTP נסתרים. נספר לכם יותר עליו במאמר הקרוב על Burp והתוספים שלו.

LinkFinder

LinkFinder - סקריפט Python לחיפוש קישורים בקובצי JavaScript. שימושי למציאת נקודות קצה/כתובות URL נסתרות או נשכחות ביישום אינטרנט.

יתרונות:

• מָהִיר;
• יש תוסף מיוחד לכרום המבוסס על LinkFinder.

.

חסרונות:

• מסקנה סופית לא נוחה;
• אינו מנתח JavaScript לאורך זמן;
• היגיון פשוט למדי לחיפוש קישורים - אם JavaScript מעורפל איכשהו, או שהקישורים בהתחלה חסרים ומיוצרים באופן דינמי, אז הוא לא יוכל למצוא כלום.

JSParser

JSParser הוא סקריפט Python שמשתמש טורנדו и JSBeautifier לנתח כתובות URL יחסיות מקובצי JavaScript. שימושי מאוד לאיתור בקשות AJAX והרכבת רשימה של שיטות API שהאפליקציה מקיימת איתן אינטראקציה. עובד ביעילות בשילוב עם LinkFinder.

יתרונות:

• ניתוח מהיר של קבצי JavaScript.

sqlmap

sqlmap הוא כנראה אחד הכלים המפורסמים ביותר לניתוח יישומי אינטרנט. Sqlmap הופך את החיפוש והתפעול של הזרקות SQL לאוטומטיות, עובדת עם מספר ניבים של SQL, ויש לה מספר עצום של טכניקות שונות בארסנל שלה, החל ממרכאות ישרות ועד לוקטורים מורכבים להזרקות SQL מבוססות זמן. בנוסף, יש לו טכניקות רבות לניצול נוסף עבור DBMSs שונים, כך שהוא שימושי לא רק כסורק להזרקות SQL, אלא גם ככלי רב עוצמה לניצול הזרקות SQL שכבר נמצאו.

יתרונות:

• מספר רב של טכניקות ווקטורים שונים;
• מספר נמוך של תוצאות חיוביות שגויות;
• הרבה אפשרויות כוונון עדין, טכניקות שונות, מסד נתונים של יעדים, תסריטי טמפר לעקיפת WAF;
• יכולת ליצור dump פלט;
• יכולות תפעוליות רבות ושונות, למשל, עבור מסדי נתונים מסוימים - טעינה/פריקה אוטומטית של קבצים, קבלת יכולת ביצוע פקודות (RCE) ואחרות;
• תמיכה בחיבור ישיר למסד הנתונים באמצעות נתונים שהושגו במהלך התקפה;
• אתה יכול לשלוח קובץ טקסט עם התוצאות של Burp כקלט - אין צורך להרכיב ידנית את כל תכונות שורת הפקודה.

חסרונות:

• קשה להתאים אישית, למשל, לכתוב כמה צ'קים משלך בגלל התיעוד המועט לכך;
• ללא ההגדרות המתאימות, הוא מבצע מערך בדיקות לא שלם, מה שעלול להטעות.

NoSQLMap

NoSQLMap - כלי Python לאוטומציה של החיפוש והניצול של הזרקות NoSQL. זה נוח לשימוש לא רק במסדי נתונים של NoSQL, אלא גם ישירות בעת ביקורת יישומי אינטרנט המשתמשים ב-NoSQL.

יתרונות:

• כמו sqlmap, הוא לא רק מוצא פגיעות פוטנציאלית, אלא גם בודק את אפשרות הניצול שלה עבור MongoDB ו-CouchDB.

חסרונות:

• אינו תומך ב-NoSQL עבור Redis, Cassandra, הפיתוח מתבצע בכיוון זה.

oxml_xxe

oxml_xxe - כלי להטמעת ניצול XXE XML בסוגים שונים של קבצים המשתמשים בפורמט XML בצורה כלשהי.

יתרונות:

• תומך בפורמטים נפוצים רבים כגון DOCX, ODT, SVG, XML.

חסרונות:

• התמיכה ב-PDF, JPEG, GIF אינה מיושמת במלואה;
• יוצר רק קובץ אחד. כדי לפתור בעיה זו אתה יכול להשתמש בכלי דוקם, שיכול ליצור מספר רב של קבצי מטען במקומות שונים.

כלי השירות לעיל עושים עבודה מצוינת בבדיקת XXE בעת טעינת מסמכים המכילים XML. אבל זכור גם שניתן למצוא מטפלים בפורמט XML במקרים רבים אחרים, לדוגמה, ניתן להשתמש ב-XML כפורמט נתונים במקום JSON.

לכן, אנו ממליצים לשים לב למאגר הבא, המכיל מספר רב של מטענים שונים: PayloadsAllTheThings.

tplmap

tplmap - כלי Python לזיהוי וניצול אוטומטי של פגיעויות של הזרקת תבניות בצד השרת; יש לו הגדרות ודגלים הדומים ל-sqlmap. משתמש במספר טכניקות ובוקטורים שונים, כולל הזרקה עיוורת, ויש לו גם טכניקות לביצוע קוד וטעינה/העלאה של קבצים שרירותיים. בנוסף, יש לו בארסנל טכניקות עבור תריסר מנועי תבנית שונים וכמה טכניקות לחיפוש אחר הזרקות קוד דמוי eval() ב-Python, Ruby, PHP, JavaScript. אם זה מצליח, זה פותח קונסולה אינטראקטיבית.

יתרונות:

• מספר רב של טכניקות ווקטורים שונים;
• תומך במנועי עיבוד תבניות רבים;
• הרבה טכניקות הפעלה.

CeWL

CeWL - מחולל מילונים ברובי, שנוצר כדי לחלץ מילים ייחודיות מאתר מסוים, עוקב אחר קישורים באתר לעומק מוגדר. המילון המלודר של מילים ייחודיות יכול לשמש מאוחר יותר כדי להשתמש בסיסמאות בכוח גס בשירותים או בקבצים ובספריות של חילוף כוחות באותו אתר, או לתקוף את ה-hash המתקבל באמצעות hashcat או John the Ripper. שימושי בעת חיבור רשימת "יעד" של סיסמאות פוטנציאליות.

יתרונות:

• קל לשימוש.

חסרונות:

• אתה צריך להיות זהיר עם עומק החיפוש כדי לא ללכוד תחום נוסף.

חלש מעבר

חלש מעבר - שירות המכיל מילונים רבים עם סיסמאות ייחודיות. שימושי במיוחד עבור משימות שונות הקשורות לפיצוח סיסמאות, החל מכוח גס מקוון פשוט של חשבונות בשירותי יעד, ועד כח אכזרי לא מקוון של חשישים שהתקבלו באמצעות hashcat או ג 'ון המרטש /. הוא מכיל כ-8 מיליארד סיסמאות באורך של בין 4 ל-25 תווים.

יתרונות:

• מכיל גם מילונים ספציפיים וגם מילונים עם הסיסמאות הנפוצות ביותר - אתה יכול לבחור מילון ספציפי לצרכים שלך;
• מילונים מתעדכנים ומתמלאים בסיסמאות חדשות;
• מילונים ממוינים לפי יעילות. אתה יכול לבחור את האפשרות גם לכוח גס מקוון מהיר וגם לבחירה מפורטת של סיסמאות מתוך מילון עשיר עם ההדלפות האחרונות;
• יש מחשבון שמראה את הזמן שלוקח להרוס סיסמאות בציוד שלך.

ברצוננו לכלול כלים לבדיקות CMS בקבוצה נפרדת: WPScan, JoomScan והאקר AEM.

AEM_hacker

האקר AEM הוא כלי לזיהוי נקודות תורפה ביישומי Adobe Experience Manager (AEM).

יתרונות:

• יכול לזהות יישומי AEM מתוך רשימת כתובות האתרים שנשלחו לקלט שלה;
• מכיל סקריפטים להשגת RCE על ידי טעינת מעטפת JSP או ניצול SSRF.

JoomScan

JoomScan - כלי Perl לאוטומציה של זיהוי נקודות תורפה בעת פריסת Joomla CMS.

יתרונות:

• מסוגל למצוא פגמי תצורה ובעיות בהגדרות ניהול;
• מפרט גרסאות ג'ומלה ופגיעויות נלוות, באופן דומה עבור רכיבים בודדים;
• מכיל יותר מ-1000 ניצולים עבור רכיבי ג'ומלה;
• פלט דוחות סופיים בפורמטים של טקסט ו-HTML.

WPScan

WPScan - כלי לסריקת אתרי וורדפרס, יש לו נקודות תורפה בארסנל שלו הן עבור מנוע וורדפרס עצמו והן עבור כמה תוספים.

יתרונות:

• מסוגל לרשום לא רק תוספים וערכות נושא לא בטוחות של וורדפרס, אלא גם לקבל רשימה של משתמשים וקבצי TimThumb;
• יכול לבצע התקפות כוח גס על אתרי וורדפרס.

חסרונות:

• ללא ההגדרות המתאימות, הוא מבצע מערך בדיקות לא שלם, מה שעלול להטעות.

באופן כללי, אנשים שונים מעדיפים כלים שונים לעבודה: כולם טובים בדרכם, ומה שאדם אחד אוהב אולי לא יתאים לאחר בכלל. אם אתה חושב שהתעלמנו בצורה לא הוגנת מאיזה כלי עזר טוב, כתוב על זה בתגובות!

מקור: www.habr.com