Sawetara wektu kepungkur aku nulis babagan , nanging sethitik meager lan semrawut. Sakwise aku mutusake kanggo nggedhekake dhaptar alat ing review, nambah struktur artikel, lan njupuk kritik menyang akun (many thanks kanggo saran) lan dikirim menyang kompetisi ing SecLab (lan diterbitake , nanging kanggo kabeh alasan sing jelas ora ana sing weruh dheweke). Kompetisi wis rampung, asil wis diumumake lan kanthi ati nurani sing resik aku bisa nerbitake (artikel) ing Habré.
Alat Pentester Aplikasi Web Gratis
Ing artikel iki aku bakal ngomong babagan alat sing paling populer kanggo pentesting (tes penetrasi) aplikasi web nggunakake strategi "kotak ireng".
Kanggo nindakake iki, kita bakal ndeleng utilitas sing bakal mbantu tes jinis iki. Coba kategori produk ing ngisor iki:
- scanner jaringan
- Pemindai pelanggaran skrip web
- Eksploitasi
- Otomatis injeksi
- Debuggers (sniffers, proxy lokal, etc.)
Sawetara produk duwe "karakter" universal, mula aku bakal nggolongake ing kategori sing duweоasil sing luwih apik (panemu subyektif).
scanner jaringan.
Tugas utama yaiku nemokake layanan jaringan sing kasedhiya, nginstal versi, nemtokake OS, lsp.
Nmap
minangka sarana gratis lan mbukak sumber kanggo analisis jaringan lan audit keamanan sistem. Mungsuh kasar saka konsol bisa nggunakake Zenmap, yaiku GUI kanggo Nmap.
Iki ora mung scanner "pinter", iku alat extensible serius (salah sawijining "fitur ora biasa" yaiku anané skrip kanggo mriksa simpul kanggo anané cacing "" (disebutake ). Conto panggunaan khas:
nmap -A -T4 localhost
-A kanggo deteksi versi OS, mindhai script lan nelusuri
-Setelan kontrol wektu T4 (luwih cepet, saka 0 nganti 5)
localhost - target host
Ana sing luwih angel?
nmap -sS -sU -T4 -A -v -PE -PP -PS21,22,23,25,80,113,31339 -PA80,113,443,10042 -PO --script all localhost
Iki minangka pilihan saka profil "scan komprehensif alon" ing Zenmap. Butuh wektu sing cukup suwe kanggo ngrampungake, nanging pungkasane menehi informasi sing luwih rinci sing bisa ditemokake babagan sistem target. , yen sampeyan arep luwih jero, aku uga nyaranake nerjemahake artikel kasebut .
Nmap wis nampa status "Produk Keamanan Taun" saka majalah lan komunitas kayata Jurnal Linux, Info World, LinuxQuestions.Org lan Codetalker Digest.
Titik menarik, Nmap bisa dideleng ing film "The Matrix Reloaded", "Die Hard 4", "The Bourne Ultimatum", "Hottabych" lan .
IP-Tools
- jinis pesawat saka keperluan jaringan beda, nerangake karo GUI, "khusus" kanggo pangguna Windows.
Scanner port, sumber daya sing dienggo bareng (printer / folder sing dienggo bareng), WhoIs / Finger / Lookup, klien telnet lan liya-liyane. Mung alat sing trep, cepet, fungsional.
Ora ana titik tartamtu kanggo nimbang produk liyane, amarga ana akeh utilitas ing wilayah iki lan kabeh duwe prinsip operasi lan fungsi sing padha. Nanging, nmap tetep sing paling umum digunakake.
Pemindai pelanggaran skrip web
Nyoba golek kerentanan populer (SQL inj, XSS, LFI/RFI, lsp.) utawa kesalahan (ora dibusak file sementara, indeksasi direktori, lsp.)
Scanner Kerentanan Web Acunetix
- saka link sampeyan bisa ndeleng manawa iki minangka scanner xss, nanging iki ora sakabehe bener. Versi gratis, kasedhiya ing kene, nyedhiyakake akeh fungsi. Biasane, wong sing pisanan mbukak scanner iki lan nampa laporan babagan sumber daya kanggo pisanan ngalami kejut, lan sampeyan bakal ngerti kenapa yen sampeyan nindakake iki. Iki minangka produk sing kuat banget kanggo nganalisa kabeh jinis kerentanan ing situs web lan ora mung dianggo karo situs web PHP biasa, nanging uga ing basa liyane (sanajan bedane basa ora dadi indikator). Ora ana titik tartamtu kanggo njlentrehake instruksi kasebut, amarga scanner mung "njupuk" tumindak pangguna. Soko sing padha karo "sabanjure, sabanjure, sabanjure, siap" ing instalasi piranti lunak khas.
Nikto
Iki minangka crawler web Open Source (GPL). Ngilangi karya manual rutin. Nggoleki situs target kanggo skrip sing ora dibusak (sawetara test.php, index_.php, etc.), alat administrasi database (/phpmyadmin/, /pma lan liya-liyane), lan liya-liyane, yaiku, mriksa sumber kanggo kesalahan sing paling umum. biasane disebabake dening faktor manungsa.
Kajaba iku, yen nemokake sawetara skrip populer, mriksa eksploitasi sing dirilis (sing ana ing basis data).
Laporan kasedhiya "ora dikarepake" cara kayata PUT lan TRACE
Lan sateruse. Iku trep banget yen sampeyan kerja minangka auditor lan nganalisa situs web saben dina.
Saka minus, aku pengin nyathet persentase dhuwur saka positip palsu. Contone, yen situs sampeyan tansah menehi kesalahan utama tinimbang kesalahan 404 (nalika kudu kedadeyan), mula scanner bakal ujar manawa situs sampeyan ngemot kabeh skrip lan kabeh kerentanan saka database. Ing laku, iki ora kedadeyan asring, nanging minangka kasunyatan, akeh gumantung saka struktur situs sampeyan.
Panggunaan klasik:
./nikto.pl -host localhost
Yen sampeyan kudu diwenehi wewenang ing situs, sampeyan bisa nyetel cookie ing file nikto.conf, variabel STATIC-COOKIE.
Wikto
- Nikto kanggo Windows, nanging kanthi sawetara tambahan, kayata logika "kabur" nalika mriksa kode kanggo kesalahan, nggunakake GHDB, entuk tautan lan folder sumber daya, ngawasi panjalukan / respon HTTP nyata-wektu. Wikto ditulis ing C # lan mbutuhake framework .NET.
skipfish
- scanner kerentanan web saka (dikenal minangka lcamtuf). Ditulis ing C, salib-platform (Win mbutuhake Cygwin). Rekursif (lan kanggo wektu sing suwe, kira-kira 20 ~ 40 jam, sanajan pungkasane kerjane kanggo aku yaiku 96 jam) crawls kabeh situs lan nemokake kabeh bolongan keamanan. Iku uga njedulake akeh lalu lintas (sawetara GB mlebu / metu). Nanging kabeh cara apik, utamane yen sampeyan duwe wektu lan sumber daya.
Panggunaan khas:
./skipfish -o /home/reports www.example.com
Ing folder "laporan" bakal ana laporan ing html, .
w3af
- Serangan Aplikasi Web lan Kerangka Audit, pemindai kerentanan web sumber terbuka. Wis GUI, nanging sampeyan bisa bisa saka console. Luwih tepate, iku framework karo .
Sampeyan bisa ngomong babagan keuntungan kanggo dangu, luwih apik kanggo nyoba:]
Pakaryan sing khas yaiku milih profil, nemtokake tujuan lan, nyatane, miwiti.
Mantra Keamanan Framework
iku impen sing kelakon. Koleksi piranti keamanan informasi gratis lan mbukak sing dibangun ing browser web.
Migunani banget nalika nguji aplikasi web ing kabeh tahapan.
Panggunaan boils mudhun kanggo nginstal lan miwiti browser.
Nyatane, ana akeh utilitas ing kategori iki lan cukup angel kanggo milih dhaptar tartamtu saka wong-wong mau. Paling asring, saben pentester dhewe nemtokake set alat sing dibutuhake.
Eksploitasi
Kanggo eksploitasi kerentanan kanthi otomatis lan luwih trep, eksploitasi ditulis ing piranti lunak lan skrip, sing mung kudu dilewati paramèter supaya bisa ngeksploitasi bolongan keamanan. Lan ana produk sing ngilangi kebutuhan kanggo nggoleki eksploitasi kanthi manual, lan malah bisa digunakake kanthi cepet. Kategori iki saiki bakal dibahas.
Kerangka Metasploit
- jenis monster ing bisnis kita. Dheweke bisa nindakake akeh banget nganti instruksi kasebut bakal nyakup sawetara artikel. Kita bakal ndeleng eksploitasi otomatis (nmap + metasploit). Ing ngisor iki: Nmap bakal nganalisa port sing dibutuhake, nginstal layanan kasebut, lan metasploit bakal nyoba ngetrapake eksploitasi kasebut adhedhasar kelas layanan (ftp, ssh, lsp.). Tinimbang instruksi teks, aku bakal masang video, cukup populer ing topik autopwn
Utawa kita mung bisa ngotomatisasi operasi eksploitasi sing kita butuhake. contone:
msf > use auxiliary/admin/cisco/vpn_3000_ftp_bypass
msf auxiliary(vpn_3000_ftp_bypass) > set RHOST [TARGET IP]
msf auxiliary(vpn_3000_ftp_bypass) > run
Nyatane, kemampuan kerangka iki jembar banget, mula yen sampeyan mutusake luwih jero, pindhah menyang
Armitage
- OVA saka GUI genre cyberpunk kanggo Metasploit. Visualisasi target, nyaranake eksploitasi lan nyedhiyakake fitur-fitur canggih saka kerangka kasebut. Umumé, kanggo sing seneng kabeh katon ayu lan nyengsemaken.
Screencast:
Tenable Nessus®
- bisa nindakake akèh iku, nanging salah siji saka kabisan kita kudu saka iku nentokake kang layanan duwe exploitasi. Versi gratis produk "mung ngarep"
Dianggo:
- Diundhuh (kanggo sistem sampeyan), diinstal, didaftar (kunci dikirim menyang email sampeyan).
- Miwiti server, nambah pangguna menyang Nessus Server Manager (tombol Ngatur pangguna)
- We menyang alamat
https://localhost:8834/
lan entuk klien lampu kilat ing browser
- Pindai -> Tambah -> isi kolom (kanthi milih profil pindai sing cocog karo kita) banjur klik Pindai
Sawise sawetara wektu, laporan pindai bakal katon ing tab Laporan
Kanggo mriksa kerentanan praktis layanan kanggo eksploitasi, sampeyan bisa nggunakake Kerangka Metasploit sing diterangake ing ndhuwur utawa nyoba golek eksploitasi (contone, ing , , etc.) lan nggunakake kanthi manual marang sistem sawijining
IMHO: akeh banget. Aku nggawa dheweke minangka salah sawijining pimpinan ing arah industri piranti lunak iki.
Otomatis injeksi
Akeh pemindai detik app web nggoleki injeksi, nanging isih mung scanner umum. Lan ana utilitas sing khusus kanggo nggoleki lan ngeksploitasi injeksi. Saiki kita bakal ngomong babagan dheweke.
sqlmap
- Utilitas open-source kanggo nggoleki lan ngeksploitasi injeksi SQL. Ndhukung server database kayata: MySQL, Oracle, PostgreSQL, Microsoft SQL Server, Microsoft Access, SQLite, Firebird, Sybase, SAP MaxDB.
Panggunaan umume mudhun menyang baris:
python sqlmap.py -u "http://example.com/index.php?action=news&id=1"
Ana cukup manual, kalebu ing basa Rusia. Piranti lunak banget nggampangake karya pentester nalika nggarap wilayah iki.
Aku bakal nambah demonstrasi video resmi:
bsqlbf-v2
- script perl, brute forceer kanggo "buta" injeksi Sql. Kerjane kanthi nilai integer ing url lan kanthi nilai senar.
Database didhukung:
- MS-SQL
- MySQL
- PostgreSQL
- Oracle
Tuladha panggunaan:
./bsqlbf-v2-3.pl -url www.somehost.com/blah.php?u=5 -blind u -sql "select table_name from imformation_schema.tables limit 1 offset 0" -database 1 -type 1
-url - Link karo paramèter
-buta u - parameter kanggo injeksi (kanthi standar sing pungkasan dijupuk saka garis alamat)
-sql "pilih table_name saka imformation_schema.tables limit 1 offset 0" — panyuwunan sewenang-wenang kanggo database
- database 1 - server database: MSSQL
-tipe 1 - jinis serangan, injeksi "buta", adhedhasar respon True lan Error (contone, kesalahan sintaks)
Debuggers
Piranti kasebut utamane digunakake dening pangembang nalika duwe masalah karo asil eksekusi kode kasebut. Nanging arah iki uga migunani kanggo pentesting, nalika kita bisa ngganti data sing kita butuhake ing fly, nganalisa apa nanggepi paramèter input kita (contone, sak fuzzing), etc.
Suite Burp
- pesawat saka keperluan sing bantuan karo tes seng nembus. Iku ing Internet ing Rusia saka Raz0r (sanajan kanggo 2008).
Versi gratis kalebu:
- Burp Proxy minangka proxy lokal sing ngidini sampeyan ngowahi panjaluk sing wis digawe saka browser
- Burp Spider - spider, nggoleki file lan direktori sing wis ana
- Burp Repeater - ngirim panjalukan HTTP kanthi manual
- Burp Sequencer - nganalisa nilai acak ing formulir
- Burp Decoder minangka encoder-decoder standar (html, base64, hex, lan sapiturute), sing ana ewonan, sing bisa ditulis kanthi cepet ing basa apa wae.
- Burp Comparer - String Comparison Component
Ing asas, paket iki solves meh kabeh masalah related kanggo wilayah iki.
Fiddler
- Fiddler minangka proxy debugging sing nyathet kabeh lalu lintas HTTP(S). Ngidini sampeyan mriksa lalu lintas iki, nyetel breakpoints lan "muter" karo data mlebu utawa metu.
Ana uga , monster lan liya-liyane, pilihan gumantung pangguna.
kesimpulan
Mesthi, saben pentester duwe arsenal dhewe lan peralatan dhewe, amarga mung akeh. Aku nyoba dhaptar sawetara sing paling trep lan populer. Nanging supaya sapa wae bisa kenal karo keperluan liyane ing arah iki, aku bakal menehi tautan ing ngisor iki.
Macem-macem ndhuwur / dhaptar scanner lan keperluan
- .
Distribusi Linux sing wis kalebu macem-macem utilitas pentesting
nganyari: ing Rusia saka tim "Hack4Sec" (ditambahake )
P.S. Kita ora bisa meneng babagan XSpider. Ora melu ing review, sanajan iku shareware (Aku ketemu metu nalika aku dikirim artikel kanggo SecLab, bener amarga iki (ora kawruh, lan lack saka versi paling anyar 7.8) lan ora kalebu ing artikel). Lan ing teori, review babagan iki direncanakake (aku duwe tes sing angel disiapake), nanging aku ora ngerti apa jagad bakal weruh.
P.P.S. Sawetara materi saka artikel bakal digunakake kanggo tujuan dimaksudaké ing laporan mbesuk ing 2012 ing bagean QA, sing bakal ngemot alat sing ora kasebut ing kene (gratis, mesthi), uga algoritma, ing urutan apa nggunakake apa, asil apa sing bakal dikarepake, konfigurasi apa sing digunakake lan kabeh pitunjuk lan trik nalika nggarap (Aku mikir babagan laporan meh saben dina, aku bakal nyoba menehi pitutur sing paling apik babagan topik topik)
Miturut cara, ana piwulang ing artikel iki ing Bukak InfoSec Days (, ), saget ngrampok Korovans ndelok .
Source: www.habr.com