უფასო ინსტრუმენტების მიმოხილვა ვებ რესურსების შესამოწმებლად და სხვა v2

რამდენიმე ხნის წინ დავწერე ამის შესახებ ეს, მაგრამ ცოტა მწირი და არეული. ამის შემდეგ გადავწყვიტე განმევრცო ინსტრუმენტების სია მიმოხილვაში, დავამატო სტატიის სტრუქტურა და გავითვალისწინო კრიტიკა (დიდი მადლობა მარცხენა რჩევისთვის) და გაგზავნა კონკურსზე SecLab-ზე (და გამოქვეყნდა ლინკი, მაგრამ ყველა აშკარა მიზეზის გამო არავის უნახავს). კონკურსი დასრულდა, შედეგები გამოცხადდა და სუფთა სინდისით შემიძლია გამოვაქვეყნო ის (სტატია) Habré-ზე.

უფასო ვებ აპლიკაციის Pentester Tools

ამ სტატიაში ვისაუბრებ ვებ აპლიკაციების პენტესტირების (შეღწევადობის ტესტების) ყველაზე პოპულარულ ინსტრუმენტებზე „შავი ყუთის“ სტრატეგიის გამოყენებით.
ამისათვის ჩვენ გადავხედავთ კომუნალურ კომპანიებს, რომლებიც დაგეხმარებათ ამ ტიპის ტესტირებაში. განვიხილოთ პროდუქტების შემდეგი კატეგორიები:

1. ქსელის სკანერები
2. ვებ სკრიპტის დარღვევის სკანერები
3. ექსპლუატაცია
4. ინექციების ავტომატიზაცია
5. Debuggers (sniffers, local proxies და ა.შ.)

ზოგიერთ პროდუქტს აქვს უნივერსალური „ხასიათი“, ამიტომ მე მათ კლასიფიკაციას მივაკუთვნებ იმ კატეგორიაში, რომელშიც აоუკეთესი შედეგი (სუბიექტური აზრი).

ქსელის სკანერები.

მთავარი ამოცანაა ხელმისაწვდომი ქსელის სერვისების აღმოჩენა, მათი ვერსიების დაყენება, OS-ის დადგენა და ა.შ.

Nmap
Nmap ("ქსელის რუქა") არის უფასო და ღია კოდის პროგრამა ქსელის ანალიზისა და სისტემის უსაფრთხოების აუდიტისთვის. კონსოლის მოძალადე ოპონენტებს შეუძლიათ გამოიყენონ Zenmap, რომელიც არის Nmap-ის GUI.
ეს არ არის მხოლოდ "ჭკვიანი" სკანერი, ეს არის სერიოზული გაფართოებადი ინსტრუმენტი (ერთ-ერთი "არაჩვეულებრივი თვისება" არის სკრიპტის არსებობა კვანძის შესამოწმებლად ჭიის არსებობისთვის "Stuxnet“ (აღნიშნა აქ). ტიპიური გამოყენების მაგალითი:

nmap -A -T4 localhost

- ოპერაციული სისტემის ვერსიის გამოვლენისთვის, სკრიპტის სკანირებისთვის და თვალყურის დევნებისთვის
-T4 დროის კონტროლის პარამეტრი (მეტი უფრო სწრაფია, 0-დან 5-მდე)
localhost - სამიზნე ჰოსტი
რამე უფრო მკაცრი?

nmap -sS -sU -T4 -A -v -PE -PP -PS21,22,23,25,80,113,31339 -PA80,113,443,10042 -PO --script all localhost

ეს არის პარამეტრების ნაკრები Zenmap-ში "ნელი ყოვლისმომცველი სკანირების" პროფილიდან. დასრულებას საკმაოდ დიდი დრო სჭირდება, მაგრამ საბოლოო ჯამში იძლევა უფრო დეტალურ ინფორმაციას, რომლის გარკვევაც შესაძლებელია სამიზნე სისტემის შესახებ. დახმარების სახელმძღვანელო რუსულ ენაზე, თუ გადაწყვეტთ ჩაღრმავებას, ასევე გირჩევთ სტატიის თარგმნას დამწყებთათვის Nmap-ის სახელმძღვანელო.
Nmap-ს მიენიჭა „წლის უსაფრთხოების პროდუქტის“ სტატუსი ისეთი ჟურნალებისა და საზოგადოებების მიერ, როგორიცაა Linux ჟურნალი, Info World, LinuxQuestions.Org და Codetalker Digest.
საინტერესო პუნქტი, Nmap შეგიძლიათ ნახოთ ფილმებში "The Matrix Reloaded", "Die Hard 4", "The Bourne Ultimatum", "Hottabych" და სხვა.

IP-ინსტრუმენტები
IP-ინსტრუმენტები - სხვადასხვა ქსელის კომუნალური საშუალებების ერთგვარი ნაკრები, მოყვება GUI, „ეძღვნება“ Windows-ის მომხმარებლებს.
პორტის სკანერი, გაზიარებული რესურსები (გაზიარებული პრინტერები/საქაღალდეები), WhoIs/Finger/Lookup, telnet კლიენტი და მრავალი სხვა. უბრალოდ მოსახერხებელი, სწრაფი, ფუნქციონალური ინსტრუმენტი.

სხვა პროდუქტების განხილვას განსაკუთრებული აზრი არ აქვს, რადგან ამ სფეროში უამრავი კომუნალური პროგრამაა და მათ ყველას აქვთ მსგავსი ოპერაციული პრინციპები და ფუნქციონირება. მიუხედავად ამისა, nmap რჩება ყველაზე ხშირად გამოყენებული.

ვებ სკრიპტის დარღვევის სკანერები

პოპულარული დაუცველობის პოვნა (SQL inj, XSS, LFI/RFI და ა.შ.) ან შეცდომების (არ წაშლილი დროებითი ფაილები, დირექტორია ინდექსირება და ა.შ.)

Acunetix ვებ დაუცველობის სკანერი
Acunetix ვებ დაუცველობის სკანერი — ლინკიდან ხედავთ, რომ ეს არის xss სკანერი, მაგრამ ეს მთლად ასე არ არის. უფასო ვერსია, რომელიც ხელმისაწვდომია აქ, უზრუნველყოფს საკმაოდ დიდ ფუნქციონირებას. ჩვეულებრივ, ადამიანი, რომელიც პირველად აწარმოებს ამ სკანერს და პირველად იღებს ანგარიშს თავის რესურსზე, განიცდის მცირე შოკს და თქვენ მიხვდებით, რატომაც ამას გააკეთებთ. ეს არის ძალიან ძლიერი პროდუქტი ვებსაიტზე ყველა სახის დაუცველობის გასაანალიზებლად და მუშაობს არა მხოლოდ ჩვეულებრივ PHP ვებსაიტებთან, არამედ სხვა ენებზეც (თუმცა ენის განსხვავება არ არის მაჩვენებელი). ინსტრუქციების აღწერას განსაკუთრებული აზრი არ აქვს, რადგან სკანერი უბრალოდ „ირჩევს“ მომხმარებლის ქმედებებს. რაღაც მსგავსი "შემდეგი, შემდეგი, შემდეგი, მზად" ტიპიური პროგრამული უზრუნველყოფის ინსტალაციაში.

ნიკო
ნიკო ეს არის ღია კოდის (GPL) ვებ მცოცავი. გამორიცხავს რუტინულ ხელით მუშაობას. ეძებს სამიზნე საიტზე წაშლილ სკრიპტებს (ზოგიერთი test.php, index_.php და ა.შ.), მონაცემთა ბაზის ადმინისტრირების ხელსაწყოებს (/phpmyadmin/, /pma და სხვა) და ა.შ., ანუ ამოწმებს რესურსს ყველაზე გავრცელებულ შეცდომებზე. ჩვეულებრივ გამოწვეულია ადამიანური ფაქტორებით.
გარდა ამისა, თუ ის პოულობს პოპულარულ სკრიპტს, ამოწმებს მას გამოშვებულ ექსპლოიტებზე (რომლებიც მონაცემთა ბაზაშია).
იტყობინება ხელმისაწვდომი "არასასურველი" მეთოდები, როგორიცაა PUT და TRACE
Და ასე შემდეგ. ძალიან მოსახერხებელია, თუ მუშაობთ აუდიტორად და აანალიზებთ ვებგვერდებს ყოველდღე.
მინუსებიდან მინდა აღვნიშნო ცრუ პოზიტივის მაღალი პროცენტი. მაგალითად, თუ თქვენი საიტი ყოველთვის იძლევა მთავარ შეცდომას 404 შეცდომის ნაცვლად (როდესაც ეს უნდა მოხდეს), მაშინ სკანერი იტყვის, რომ თქვენი საიტი შეიცავს ყველა სკრიპტს და ყველა დაუცველობას მისი მონაცემთა ბაზიდან. პრაქტიკაში ეს ასე ხშირად არ ხდება, მაგრამ ფაქტიურად ბევრი რამ არის დამოკიდებული თქვენი საიტის სტრუქტურაზე.
კლასიკური გამოყენება:

./nikto.pl -host localhost

თუ თქვენ გჭირდებათ ავტორიზაცია საიტზე, შეგიძლიათ დააყენოთ ქუქი ფაილი nikto.conf ფაილში, STATIC-COOKIE ცვლადი.

ვიქტო
ვიქტო - ნიკტო ქვეშ Windows, თუმცა გარკვეული დამატებებით, როგორიცაა შეცდომების შემოწმების ფაზური ლოგიკა, GHDB-ის გამოყენება, რესურსების ბმულებისა და საქაღალდეების მოძიება და HTTP მოთხოვნების/პასუხების რეალურ დროში მონიტორინგი. Wikto დაწერილია C#-ში და საჭიროებს .NET ჩარჩოს.

skipfish
skipfish - ვებ დაუცველობის სკანერი მიხალ ზალევსკი (ცნობილია როგორც lcamtuf). დაწერილია C-ში, კროს-პლატფორმაზე (Win მოითხოვს Cygwin-ს). რეკურსიულად (და ძალიან დიდი ხნის განმავლობაში, დაახლოებით 20-40 საათის განმავლობაში, თუმცა ბოლო დროს ის მუშაობდა ჩემთან იყო 96 საათი) ის დაცოცავს მთელ საიტს და პოულობს უსაფრთხოების ყველა სახის ხვრელს. ის ასევე ქმნის უამრავ ტრაფიკს (რამდენიმე GB შემომავალი/გამავალი). მაგრამ ყველა საშუალება კარგია, განსაკუთრებით თუ დრო და რესურსი გაქვთ.
ტიპიური გამოყენება:

./skipfish -o /home/reports www.example.com

"ანგარიშების" საქაღალდეში იქნება მოხსენება html-ში, მაგალითად.

w3af
w3af — ვებ აპლიკაციის შეტევა და აუდიტის ჩარჩო, ღია კოდის ვებ დაუცველობის სკანერი. მას აქვს GUI, მაგრამ შეგიძლიათ იმუშაოთ კონსოლიდან. უფრო ზუსტად, ეს არის ჩარჩო დანამატების თაიგული.
მის სარგებლიანობაზე უსასრულოდ შემიძლია ვისაუბრო, მაგრამ ჯობია სცადო :]
მასთან მუშაობის ტიპიური ეტაპია პროფილის არჩევა, სამიზნის მითითება და, ფაქტობრივად, მისი გაშვება.

მანტრას უსაფრთხოების ჩარჩო
Mantra არის ოცნება, რომელიც ახდა. უფასო და ღია ინფორმაციის უსაფრთხოების ინსტრუმენტების კოლექცია, რომელიც ჩაშენებულია ვებ ბრაუზერში.
ძალიან სასარგებლოა ვებ აპლიკაციების ტესტირებისას ყველა ეტაპზე.
გამოყენება მცირდება ბრაუზერის ინსტალაციასა და გაშვებაზე.

სინამდვილეში, ამ კატეგორიაში უამრავი კომუნალური პროგრამაა და მათგან კონკრეტული სიის შერჩევა საკმაოდ რთულია. ყველაზე ხშირად, თითოეული პენტესტერი თავად განსაზღვრავს მისთვის საჭირო ხელსაწყოების კომპლექტს.

ექსპლუატაცია

დაუცველობის ავტომატიზირებული და უფრო მოსახერხებელი ექსპლუატაციისთვის, ექსპლოიტები იწერება პროგრამულ უზრუნველყოფაში და სკრიპტებში, რომლებსაც მხოლოდ პარამეტრების გადაცემა სჭირდება უსაფრთხოების ხვრელის გამოსაყენებლად. და არის პროდუქტები, რომლებიც აღმოფხვრის ექსპლოიტების ხელით ძიების აუცილებლობას და მათი გამოყენებაც კი. ეს კატეგორია ახლა განიხილება.

მეტაპლოიტის ჩარჩო
Metasploit® ჩარჩო - ერთგვარი მონსტრი ჩვენს საქმეში. მას შეუძლია იმდენი გააკეთოს, რომ ინსტრუქციები მოიცავს რამდენიმე სტატიას. ჩვენ განვიხილავთ ავტომატურ ექსპლუატაციას (nmap + metasploit). დასკვნა ასეთია: Nmap გაანალიზებს ჩვენთვის საჭირო პორტს, დააინსტალირებს სერვისს და metasploit შეეცდება გამოიყენოს მასზე ექსპლოიტები სერვისის კლასის მიხედვით (ftp, ssh და ა.შ.). ტექსტური ინსტრუქციის ნაცვლად დავდებ ვიდეოს საკმაოდ პოპულარულ თემაზე autopwn

ან ჩვენ შეგვიძლია უბრალოდ ავტომატიზირება მოვახდინოთ ჩვენთვის საჭირო ექსპლოიტის მუშაობისთვის. Მაგალითად:

msf > use auxiliary/admin/cisco/vpn_3000_ftp_bypass
msf auxiliary(vpn_3000_ftp_bypass) > set RHOST [TARGET IP]
msf auxiliary(vpn_3000_ftp_bypass) > run

სინამდვილეში, ამ ჩარჩოს შესაძლებლობები ძალიან ფართოა, ასე რომ, თუ გადაწყვეტთ უფრო ღრმად წასვლას, გადადით ლინკები

Armitage
Armitage — კიბერპანკის ჟანრის GUI Metasploit-ისთვის. ახდენს სამიზნის ვიზუალიზებას, რეკომენდაციას უწევს ექსპლოიტებს და უზრუნველყოფს ფრეიმერის მოწინავე ფუნქციებს. ზოგადად, მათთვის, ვისაც უყვარს ყველაფერი ლამაზად და შთამბეჭდავად გამოიყურებოდეს.
ეკრანის გადაცემა:

გამძლე Nessus®
გამძლე Nessus® დაუცველობის სკანერი - ბევრი რამის გაკეთება შეუძლია, მაგრამ ერთ-ერთი შესაძლებლობა, რაც მისგან გვჭირდება, არის იმის განსაზღვრა, რომელ სერვისებს აქვთ ექსპლოიტები. პროდუქტის უფასო ვერსია "მხოლოდ სახლში"

Использование:

• გადმოწერილი (თქვენი სისტემისთვის), დაინსტალირებული, დარეგისტრირებული (გასაღები იგზავნება თქვენს ელფოსტაზე).
• გაუშვა სერვერი, დაამატა მომხმარებელი Nessus Server Manager-ში (მომხმარებლების მართვა ღილაკი)
• მივდივართ მისამართზე

  https://localhost:8834/

  და მიიღეთ ფლეშ კლიენტი ბრაუზერში

• სკანირება -> დამატება -> შეავსეთ ველები (ჩვენთვის შესაფერისი სკანირების პროფილის არჩევით) და დააჭირეთ სკანირებას

გარკვეული პერიოდის შემდეგ, სკანირების ანგარიში გამოჩნდება მოხსენებების ჩანართში
სერვისების პრაქტიკული დაუცველობის შესამოწმებლად ექსპლოიტების მიმართ, შეგიძლიათ გამოიყენოთ ზემოთ აღწერილი Metasploit Framework ან სცადოთ იპოვოთ ექსპლოიტი (მაგალითად, Explot-db, პაკეტის ქარიშხალი, ექსპლოტის ძებნა და ა.შ.) და გამოიყენეთ ხელით წინააღმდეგ მისი სისტემა
IMHO: ძალიან მოცულობითი. მე ის მოვიყვანე, როგორც ერთ-ერთი ლიდერი პროგრამული უზრუნველყოფის ინდუსტრიის ამ მიმართულებით.

ინექციების ავტომატიზაცია

ბევრი ვებ აპლიკაციის სკანერი ეძებს ინექციებს, მაგრამ ისინი მაინც მხოლოდ ზოგადი სკანერები არიან. და არის კომუნალური საშუალებები, რომლებიც კონკრეტულად ეხება ინექციების ძებნას და გამოყენებას. მათზე ახლა ვისაუბრებთ.

sqlmap
sqlmap — ღია კოდის პროგრამა SQL ინექციების მოსაძებნად და გამოსაყენებლად. მხარს უჭერს მონაცემთა ბაზის სერვერებს, როგორიცაა: MySQL, Oracle, PostgreSQL, Microsoft SQL Server, Microsoft Access, SQLite, Firebird, Sybase, SAP MaxDB.
ტიპიური გამოყენება მთავრდება:

python sqlmap.py -u "http://example.com/index.php?action=news&id=1"
არსებობს საკმარისი სახელმძღვანელოები, მათ შორის რუსულ ენაზე. პროგრამული უზრუნველყოფა მნიშვნელოვნად უწყობს ხელს პენტესტერის მუშაობას ამ მხარეზე მუშაობისას.
დავამატებ ოფიციალურ ვიდეო დემონსტრაციას:

bsqlbf-v2
bsqlbf-v2 - პერლის სკრიპტი, უხეში ძალისხმევით "ბრმა" Sql ინექციებისთვის. ის მუშაობს როგორც მთელი რიცხვებით url-ში, ასევე სიმებიანი მნიშვნელობებით.
მონაცემთა ბაზა მხარდაჭერილია:

• MS-SQL
• MySQL
• PostgreSQL
• Oracle

გამოყენების მაგალითი:

./bsqlbf-v2-3.pl -url www.somehost.com/blah.php?u=5 -blind u -sql "select table_name from imformation_schema.tables limit 1 offset 0" -database 1 -type 1

- url www.somehost.com/blah.php?u=5 - პარამეტრებთან დაკავშირება
-ბრმა შენ - ინექციისთვის განკუთვნილი პარამეტრი (ნაგულისხმევად ბოლო აღებულია მისამართების ზოლიდან)
-sql "sect table_name from imformation_schema.tables limit 1 offset 0" — ჩვენი თვითნებური მოთხოვნა მონაცემთა ბაზაში
- მონაცემთა ბაზა 1 - მონაცემთა ბაზის სერვერი: MSSQL
- ტიპი 1 - თავდასხმის ტიპი, „ბრმა“ ინექცია, ჭეშმარიტი და შეცდომის (მაგალითად, სინტაქსის შეცდომები) პასუხებზე დაყრდნობით.

გამართულები

ამ ინსტრუმენტებს ძირითადად იყენებენ დეველოპერები, როდესაც მათ აქვთ პრობლემები მათი კოდის შესრულების შედეგებთან დაკავშირებით. მაგრამ ეს მიმართულება ასევე სასარგებლოა პენტესტისთვის, როდესაც ჩვენ შეგვიძლია შევცვალოთ ჩვენთვის საჭირო მონაცემები ფრენისას, გავაანალიზოთ რა მოდის ჩვენი შეყვანის პარამეტრების საპასუხოდ (მაგალითად, ფუზირების დროს) და ა.შ.

Burp Suite
Burp Suite - კომუნალური საშუალებების ნაკრები, რომელიც ეხმარება შეღწევადობის ტესტებს. ინტერნეტშია კარგი მიმოხილვა რუსულად Raz0r-დან (თუმცა 2008 წლისთვის).
უფასო ვერსია მოიცავს:

• Burp Proxy არის ადგილობრივი პროქსი, რომელიც საშუალებას გაძლევთ შეცვალოთ უკვე გენერირებული მოთხოვნები ბრაუზერიდან
• Burp Spider - ობობა, ეძებს არსებულ ფაილებსა და დირექტორიებს
• Burp Repeater - HTTP მოთხოვნების ხელით გაგზავნა
• Burp Sequencer - შემთხვევითი მნიშვნელობების ფორმებში ანალიზი
• Burp Decoder არის სტანდარტული ენკოდერ-დეკოდერი (html, base64, hex და ა.შ.), რომელთაგან ათასობით არის, რომელთა სწრაფად დაწერა ნებისმიერ ენაზეა შესაძლებელი.
• Burp Comparer - სიმებიანი შედარებითი კომპონენტი

პრინციპში, ეს პაკეტი წყვეტს ამ სფეროსთან დაკავშირებულ თითქმის ყველა პრობლემას.

ფიდლერი
ფიდლერი — Fiddler არის გამართვის პროქსი, რომელიც აღრიცხავს ყველა HTTP(S) ტრაფიკს. საშუალებას გაძლევთ შეამოწმოთ ეს ტრაფიკი, დააყენოთ წყვეტის წერტილები და „ითამაშოთ“ შემომავალი ან გამავალი მონაცემებით.

ასევე არსებობს მეხანძრე, მონსტრი Wireshark და სხვები, არჩევანი მომხმარებლის გადასაწყვეტია.

დასკვნა

ბუნებრივია, თითოეულ პენტესტერს აქვს საკუთარი არსენალი და კომუნალური საშუალებების საკუთარი ნაკრები, რადგან მათგან უბრალოდ ბევრია. შევეცადე ჩამოვთვალო რამდენიმე ყველაზე მოსახერხებელი და პოპულარული. მაგრამ იმისათვის, რომ ვინმემ შეძლოს გაეცნოს სხვა კომუნალურ საშუალებებს ამ მიმართულებით, მე მივცემ ბმულებს ქვემოთ.

სკანერებისა და კომუნალური საშუალებების სხვადასხვა ტოპები/სიები

• უსაფრთხოების და ჰაკერების ინსტრუმენტები
• ტოპ 100 ქსელის უსაფრთხოების ინსტრუმენტი
• ტოპ 10 ვებ დაუცველობის სკანერი.
• ტოპ 10 დაუცველობის სკანერი
• OWASP ტოპ 10 ინსტრუმენტი და ტაქტიკა
• ვებ-ზე დაფუძნებული აპლიკაციის უსაფრთხოების სკანერები
• ვებ აპლიკაციის უსაფრთხოების სკანერის სია WebAppSec-ის მიერ
• Infosec უტილიტები RDot ფორუმზე
• დაუცველობის სკანერები (ვიკიპედია)

დისტრიბუციები Linux, რომელიც უკვე მოიცავს სხვადასხვა უტილიტების ერთობლიობას შეღწევადობის ტესტირებისთვის

• BackTrack
• პენტოო
• სუსტი
• Backbuntu

განახლება: BurpSuite დოკუმენტაცია რუსულად "Hack4Sec" გუნდიდან (დამატებულია ანტონ კუზმინი)

P.S. ჩვენ არ შეგვიძლია გავჩუმდეთ XSpider-ის შესახებ. არ მონაწილეობს მიმოხილვაში, თუმცა ეს არის shareware (როდესაც გავარკვიე, როცა სტატია SecLab-ს გავუგზავნე, რეალურად ამის გამო (არა ცოდნისა და უახლესი ვერსიის 7.8-ის არარსებობის გამო) და არ შევიტანე სტატიაში). და თეორიულად, მისი გადახედვა დაიგეგმა (ამისთვის რთული ტესტები მაქვს მომზადებული), მაგრამ არ ვიცი, იხილავს თუ არა ამას მსოფლიო.

P.P.S. სტატიიდან ზოგიერთი მასალა გამოყენებული იქნება მისი დანიშნულებისამებრ მომავალ მოხსენებაში CodeFest 2012 წ. ხარისხის უზრუნველყოფის განყოფილებაში, რომელიც შეიცავს ინსტრუმენტებს, რომლებიც აქ არ არის ნახსენები (უფასო, რა თქმა უნდა), ასევე ალგორითმს, რა თანმიმდევრობით გამოვიყენოთ რა, რა შედეგს უნდა ველოდოთ, რა კონფიგურაციების გამოყენება და ყველა სახის მინიშნებებსა და ხრიკებს როდის ვმუშაობ (თითქმის ყოველდღე ვფიქრობ მოხსენებაზე, ვეცდები ყველაფერი საუკეთესო გითხრათ თემის შესახებ)
სხვათა შორის, ამ სტატიის შესახებ გაკვეთილი გაიმართა გახსენით InfoSec Days (tag Habré-ზე, ნახვა), შეუძლია გაძარცვეს კოროველები შეხედე მასალები.

წყარო: www.habr.com