ვებ ინსტრუმენტები, ან საიდან დავიწყოთ როგორც პენტესტერი?

გაგრძელება ისაუბრეთ პენსტერებისთვის სასარგებლო ინსტრუმენტებზე. ახალ სტატიაში განვიხილავთ ვებ აპლიკაციების უსაფრთხოების გაანალიზების ინსტრუმენტებს.

ჩვენი კოლეგა BeLove მე უკვე გავაკეთე მსგავსი რამ შედგენა დაახლოებით შვიდი წლის წინ. საინტერესოა, რომელმა ინსტრუმენტებმა შეინარჩუნა და გააძლიერა პოზიციები და რომელი გაქრა უკანა პლანზე და ახლა იშვიათად გამოიყენება.


გაითვალისწინეთ, რომ ეს ასევე მოიცავს Burp Suite-ს, მაგრამ იქნება ცალკე პუბლიკაცია ამის და მისი სასარგებლო დანამატების შესახებ.

შინაარსი:

• ამასი
• Altdns
• აკვატონი
• MassDNS
• nsec3map
• აკუნეტიქსი
• დიერსერქე
• wfuzz
• ფუფ
• გობუსტერი
• Arjun
• LinkFinder
• JSParser
• sqlmap
• NoSQLMap
• oxml_xxe
• tplmap
• CeWL
• სუსტი უღელტეხილი
• AEM_ჰაკერი
• JoomScan
• WPScan

ამასი

ამასი - Go ინსტრუმენტი DNS ქვედომენების მოსაძებნად და ჩამოთვლისთვის და გარე ქსელის რუკებისთვის. Amass არის OWASP პროექტი, რომელიც შექმნილია იმის საჩვენებლად, თუ როგორ გამოიყურებიან ინტერნეტში არსებული ორგანიზაციები აუტსაიდერისთვის. Amass იძენს ქვედომენის სახელებს სხვადასხვა გზით; ინსტრუმენტი იყენებს როგორც ქვედომენების რეკურსიულ ჩამოთვლას, ასევე ღია წყაროს ძიებას.

ურთიერთდაკავშირებული ქსელის სეგმენტების და ავტონომიური სისტემის ნომრების აღმოსაჩენად, Amass იყენებს ოპერაციის დროს მიღებულ IP მისამართებს. ყველა ნაპოვნი ინფორმაცია გამოიყენება ქსელის რუქის შესაქმნელად.

დადებითი:

• ინფორმაციის შეგროვების ტექნიკა მოიცავს:
  * DNS - ქვედომენების ლექსიკონების ძიება, bruteforce ქვედომენები, ჭკვიანი ძიება მუტაციების გამოყენებით ნაპოვნი ქვედომენების საფუძველზე, შებრუნებული DNS მოთხოვნები და DNS სერვერების ძიება, სადაც შესაძლებელია ზონის გადაცემის მოთხოვნის გაკეთება (AXFR);

  * ღია წყაროს ძებნა - Ask, Baidu, Bing, CommonCrawl, DNSDB, DNSDumpster, DNSTable, Dogpile, Exalead, FindSubdomains, Google, IPv4Info, Netcraft, PTRArchive, Riddler, SiteDossier, ThreatCrowd, VirusTotal, Yahoo;

  * მოძებნეთ TLS სერთიფიკატების მონაცემთა ბაზები - Censys, CertDB, CertSpotter, Crtsh, Entrust;

  * საძიებო სისტემის API-ების გამოყენება - BinaryEdge, BufferOver, CIRCL, HackerTarget, PassiveTotal, Robtex, SecurityTrails, Shodan, Twitter, Umbrella, URLScan;

  * მოძებნეთ ინტერნეტის ვებ არქივები: ArchiveIt, ArchiveToday, Arquivo, LoCarchive, OpenUKArchive, UKGovArchive, Wayback;

• მალტეგოსთან ინტეგრაცია;
• უზრუნველყოფს DNS ქვედომენების ძიების ამოცანის ყველაზე სრულ გაშუქებას.

Cons:

• ფრთხილად იყავით amass.netdomains-თან - ის შეეცდება დაუკავშირდეს ყველა IP მისამართს იდენტიფიცირებულ ინფრასტრუქტურაში და მოიპოვოს დომენის სახელები საპირისპირო DNS საძიებო და TLS სერთიფიკატებიდან. ეს არის "მაღალი პროფილის" ტექნიკა, მას შეუძლია გამოავლინოს თქვენი სადაზვერვო საქმიანობა გამოძიების ქვეშ მყოფ ორგანიზაციაში.
• მეხსიერების მაღალი მოხმარება, შეუძლია მოიხმაროს 2 გბ-მდე ოპერატიული მეხსიერება სხვადასხვა პარამეტრებში, რაც არ მოგცემთ საშუალებას ამ ინსტრუმენტის ღრუბელში გაშვება იაფფასიან VDS-ზე.

Altdns

Altdns — პითონის ხელსაწყო ლექსიკონების შედგენისთვის DNS ქვედომენების ჩამოთვლისთვის. საშუალებას გაძლევთ შექმნათ ქვედომენების მრავალი ვარიანტი მუტაციებისა და პერმუტაციების გამოყენებით. ამისათვის გამოიყენება სიტყვები, რომლებიც ხშირად გვხვდება ქვედომენებში (მაგალითად: test, dev, დადგმა), ყველა მუტაცია და პერმუტაცია გამოიყენება უკვე ცნობილ ქვედომენებზე, რომლებიც შეიძლება წარდგენილი იყოს Altdns-ის შეყვანაში. გამომავალი არის ქვედომენების ვარიაციების სია, რომლებიც შეიძლება არსებობდეს და ეს სია მოგვიანებით შეიძლება გამოყენებულ იქნას DNS უხეში ძალისთვის.

დადებითი:

• კარგად მუშაობს დიდი მონაცემთა ნაკრებით.

აკვატონი

აკვატონი - ადრე უფრო ცნობილი იყო, როგორც ქვედომენების ძებნის კიდევ ერთი ინსტრუმენტი, მაგრამ თავად ავტორმა მიატოვა ეს ზემოხსენებული Amass-ის სასარგებლოდ. ახლა აკვატონი გადაწერილია Go-ში და უფრო მეტად არის მიმართული საიტებზე წინასწარი დაზვერვისკენ. ამისთვის aquatone გადის მითითებულ დომენებს და ეძებს ვებგვერდებს სხვადასხვა პორტებზე, რის შემდეგაც აგროვებს ყველა ინფორმაციას საიტის შესახებ და იღებს სკრინშოტს. მოსახერხებელია ვებსაიტების სწრაფი წინასწარი დაზვერვისთვის, რის შემდეგაც შეგიძლიათ აირჩიოთ პრიორიტეტული სამიზნეები თავდასხმებისთვის.

დადებითი:

• გამომავალი ქმნის ფაილებისა და საქაღალდეების ჯგუფს, რომლებიც მოსახერხებელია სხვა ინსტრუმენტებთან მუშაობისას:
  * HTML ანგარიში შეგროვებული ეკრანის ანაბეჭდებით და პასუხების სათაურებით დაჯგუფებული მსგავსების მიხედვით;

  * ფაილი ყველა URL-ით, სადაც ნაპოვნია ვებსაიტები;

  * ფაილი სტატისტიკით და გვერდის მონაცემებით;

  * საქაღალდე ფაილებით, რომლებიც შეიცავს პასუხების სათაურებს ნაპოვნი სამიზნეებიდან;

  * საქაღალდე ფაილებით, რომლებიც შეიცავს პასუხების ნაწილს ნაპოვნი სამიზნეებიდან;

  * ნაპოვნი ვებსაიტების სკრინშოტები;

• მხარს უჭერს XML ანგარიშებთან მუშაობას Nmap-დან და Masscan-იდან;
• იყენებს უთავო Chrome/Chromium-ს ეკრანის ანაბეჭდების გადასაღებად.

Cons:

• მას შეუძლია მიიპყროს შეჭრის აღმოჩენის სისტემების ყურადღება, ამიტომ მოითხოვს კონფიგურაციას.

სკრინშოტი გადაღებულია aquatone-ის ერთ-ერთი ძველი ვერსიისთვის (v0.5.0), რომელშიც განხორციელდა DNS ქვედომენის ძებნა. ძველი ვერსიები შეგიძლიათ იხილოთ აქ რელიზების გვერდი.

MassDNS

MassDNS არის კიდევ ერთი ინსტრუმენტი DNS ქვედომენების მოსაძებნად. მისი მთავარი განსხვავება ისაა, რომ ის აყენებს DNS შეკითხვებს პირდაპირ ბევრ სხვადასხვა DNS გადამწყვეტთან და ამას აკეთებს მნიშვნელოვანი სიჩქარით.

დადებითი:

• სწრაფი - შეუძლია წამში 350 ათასზე მეტი სახელის გადაჭრა.

Cons:

• MassDNS-მა შეიძლება გამოიწვიოს მნიშვნელოვანი დატვირთვა გამოყენებული DNS გადამწყვეტებზე, რამაც შეიძლება გამოიწვიოს ამ სერვერების აკრძალვა ან საჩივრები თქვენს ISP-თან. გარდა ამისა, ის დიდ დატვირთვას მოახდენს კომპანიის DNS სერვერებზე, თუ მათ აქვთ ისინი და პასუხისმგებელნი არიან თუ არა იმ დომენებზე, რომელთა მოგვარებასაც ცდილობთ.
• გადამწყვეტების სია ამჟამად მოძველებულია, მაგრამ თუ თქვენ აირჩიეთ გატეხილი DNS გადამწყვეტები და დაამატებთ ახალ ცნობილებს, ყველაფერი კარგად იქნება.

აკვატონის სკრინშოტი v0.5.0

nsec3map

nsec3map არის პითონის ინსტრუმენტი DNSSEC-ით დაცული დომენების სრული სიის მისაღებად.

დადებითი:

• სწრაფად აღმოაჩენს ჰოსტებს DNS ზონებში მოთხოვნების მინიმალური რაოდენობით, თუ ზონაში ჩართულია DNSSEC მხარდაჭერა;
• მოყვება დანამატი John the Ripper-ისთვის, რომელიც შეიძლება გამოყენებულ იქნას მიღებული NSEC3 ჰეშების გასატეხად.

Cons:

• ბევრი DNS შეცდომა არ არის დამუშავებული სწორად;
• არ ხდება NSEC ჩანაწერების დამუშავების ავტომატური პარალელიზაცია - თქვენ უნდა გაყოთ სახელთა სივრცე ხელით;
• მეხსიერების მაღალი მოხმარება.

აკუნეტიქსი

აკუნეტიქსი — ვებ დაუცველობის სკანერი, რომელიც ავტომატიზირებს ვებ აპლიკაციების უსაფრთხოების შემოწმების პროცესს. ამოწმებს აპლიკაციას SQL ინექციებისთვის, XSS, XXE, SSRF და მრავალი სხვა ვებ დაუცველობისთვის. თუმცა, როგორც ნებისმიერი სხვა სკანერი, სხვადასხვა ვებ დაუცველობა არ ცვლის პენტესტერს, რადგან ის ვერ პოულობს დაუცველობის ან დაუცველობის კომპლექსურ ჯაჭვებს ლოგიკაში. მაგრამ ის მოიცავს უამრავ სხვადასხვა დაუცველობას, მათ შორის სხვადასხვა CVE-ებს, რომლებიც შესაძლოა დაავიწყდეს პენტესტერს, ამიტომ ძალიან მოსახერხებელია რუტინული შემოწმებისგან გასათავისუფლებლად.

დადებითი:

• ცრუ პოზიტივის დაბალი დონე;
• შედეგები შეიძლება ექსპორტირებული იყოს ანგარიშების სახით;
• ახორციელებს დიდი რაოდენობით შემოწმებას სხვადასხვა მოწყვლადობაზე;
• მრავალი ჰოსტის პარალელური სკანირება.

Cons:

• არ არსებობს დედუპლიკაციის ალგორითმი (Acunetix განიხილავს გვერდებს, რომლებიც იდენტურია ფუნქციონალურობით განსხვავებულად, რადგან ისინი მიდიან სხვადასხვა URL-მდე), მაგრამ დეველოპერები მუშაობენ მასზე;
• მოითხოვს ინსტალაციას ცალკე ვებ სერვერზე, რაც ართულებს კლიენტის სისტემების ტესტირებას VPN კავშირით და სკანერის გამოყენებას ლოკალური კლიენტების ქსელის იზოლირებულ სეგმენტში;
• შესწავლილმა სერვისმა შეიძლება ხმაური გამოიღოს, მაგალითად, საიტის საკონტაქტო ფორმაზე ძალიან ბევრი შეტევის ვექტორის გაგზავნით, რითაც მნიშვნელოვნად გაართულებს ბიზნეს პროცესებს;
• ეს არის საკუთრების და, შესაბამისად, არა უფასო გადაწყვეტა.

დიერსერქე

დიერსერქე — პითონის ინსტრუმენტი ვებსაიტებზე დირექტორიებისა და ფაილების უხეში ძალისხმევისთვის.

დადებითი:

• შეუძლია განასხვავოს რეალური „200 OK“ გვერდი „200 OK“ გვერდისგან, მაგრამ ტექსტით „გვერდი ვერ მოიძებნა“;
• მოყვება მოსახერხებელი ლექსიკონი, რომელსაც აქვს კარგი ბალანსი ზომასა და ძიების ეფექტურობას შორის. შეიცავს სტანდარტულ ბილიკებს, რომლებიც საერთოა მრავალი CMS-ისა და ტექნოლოგიური წყობისთვის;
• საკუთარი ლექსიკონის ფორმატი, რომელიც საშუალებას გაძლევთ მიაღწიოთ კარგ ეფექტურობას და მოქნილობას ფაილების და დირექტორიების ჩამოთვლაში;
• მოსახერხებელი გამომავალი - მარტივი ტექსტი, JSON;
• მას შეუძლია throttling - პაუზა მოთხოვნებს შორის, რაც სასიცოცხლოდ მნიშვნელოვანია ნებისმიერი სუსტი სერვისისთვის.

Cons:

• გაფართოებები უნდა გადაიტანოთ როგორც სტრიქონი, რაც მოუხერხებელია, თუ საჭიროა ერთდროულად ბევრი გაფართოების გავლა;
• იმისათვის, რომ გამოიყენოთ თქვენი ლექსიკონი, ის ოდნავ უნდა შეიცვალოს Dirsearch ლექსიკონის ფორმატში მაქსიმალური ეფექტურობისთვის.

wfuzz

wfuzz - Python ვებ აპლიკაციის fuzzer. ალბათ ერთ-ერთი ყველაზე ცნობილი ვებ ფაიზერი. პრინციპი მარტივია: wfuzz გაძლევთ საშუალებას დააფიქსიროთ ნებისმიერი ადგილი HTTP მოთხოვნაში, რაც შესაძლებელს ხდის GET/POST პარამეტრების, HTTP სათაურების, ქუქიების და სხვა ავთენტიფიკაციის სათაურების ფაზირებას. ამავდროულად, ის ასევე მოსახერხებელია დირექტორიებისა და ფაილების მარტივი უხეში ძალისთვის, რისთვისაც გჭირდებათ კარგი ლექსიკონი. მას ასევე აქვს მოქნილი ფილტრის სისტემა, რომლითაც შეგიძლიათ საიტიდან გამოხმაურებების გაფილტვრა სხვადასხვა პარამეტრების მიხედვით, რაც საშუალებას გაძლევთ მიაღწიოთ ეფექტურ შედეგებს.

დადებითი:

• მრავალფუნქციური - მოდულური სტრუქტურა, აწყობას რამდენიმე წუთი სჭირდება;
• მოსახერხებელი ფილტრაციისა და გაფუჭების მექანიზმი;
• შეგიძლიათ ეტაპობრივად ნებისმიერი HTTP მეთოდი, ისევე როგორც ნებისმიერი ადგილი HTTP მოთხოვნა.

Cons:

• დამუშავების პროცესშია.

ფუფ

ფუფ — ვებ fuzzer Go-ში, შექმნილი wfuzz-ის „გამოსახულებითა და მსგავსებით“, საშუალებას გაძლევთ შეასრულოთ ფაილები, დირექტორიები, URL ბილიკები, GET/POST პარამეტრების სახელები და მნიშვნელობები, HTTP სათაურები, მათ შორის Host სათაური უხეში ძალისთვის. ვირტუალური მასპინძლების. wfuzz განსხვავდება თავისი ძმისგან უფრო მაღალი სიჩქარით და რამდენიმე ახალი ფუნქციით, მაგალითად, ის მხარს უჭერს Dirsearch ფორმატის ლექსიკონებს.

დადებითი:

• ფილტრები wfuzz ფილტრების მსგავსია, ისინი საშუალებას გაძლევთ მოქნილად დააკონფიგურიროთ უხეში ძალა;
• საშუალებას გაძლევთ გააფუჭოთ HTTP სათაურის მნიშვნელობები, POST მოთხოვნის მონაცემები და URL-ის სხვადასხვა ნაწილები, მათ შორის GET პარამეტრების სახელები და მნიშვნელობები;
• თქვენ შეგიძლიათ მიუთითოთ ნებისმიერი HTTP მეთოდი.

Cons:

• დამუშავების პროცესშია.

გობუსტერი

გობუსტერი — Go ინსტრუმენტი დაზვერვისთვის, აქვს მუშაობის ორი რეჟიმი. პირველი გამოიყენება ვებსაიტზე ფაილების და დირექტორიების უხეში ძალის შესასრულებლად, მეორე გამოიყენება DNS ქვედომენების უხეში ძალის შესასრულებლად. ინსტრუმენტი თავდაპირველად არ უჭერს მხარს ფაილების და დირექტორიების რეკურსიულ ჩამოთვლას, რაც, რა თქმა უნდა, დაზოგავს დროს, მაგრამ მეორეს მხრივ, ვებსაიტზე ყოველი ახალი საბოლოო წერტილის უხეში ძალა ცალკე უნდა იყოს გაშვებული.

დადებითი:

• მუშაობის მაღალი სიჩქარე, როგორც DNS ქვედომენების უხეში ძალის მოსაძიებლად, ასევე ფაილებისა და დირექტორიების უხეში ძალისთვის.

Cons:

• მიმდინარე ვერსია არ უჭერს მხარს HTTP სათაურების დაყენებას;
• ნაგულისხმევად, მხოლოდ ზოგიერთი HTTP სტატუსის კოდი (200,204,301,302,307) ითვლება ძალაში.

Arjun

Arjun - ინსტრუმენტი ფარული HTTP პარამეტრების უხეში ძალისთვის GET/POST პარამეტრებში, ასევე JSON-ში. ჩაშენებულ ლექსიკონში 25 სიტყვაა, რომელსაც აჯრუნი ამოწმებს თითქმის 980 წამში. ხრიკი ისაა, რომ აჯრუნი თითოეულ პარამეტრს ცალ-ცალკე არ ამოწმებს, მაგრამ ერთდროულად ამოწმებს ~ 30 პარამეტრს და ხედავს შეიცვალა თუ არა პასუხი. თუ პასუხი შეიცვალა, ის ყოფს ამ 1000 პარამეტრს ორ ნაწილად და ამოწმებს, რომელი ნაწილი ახდენს გავლენას პასუხზე. ამრიგად, მარტივი ორობითი ძიების გამოყენებით, ნაპოვნია პარამეტრი ან რამდენიმე ფარული პარამეტრი, რომელმაც გავლენა მოახდინა პასუხზე და, შესაბამისად, შეიძლება არსებობდეს.

დადებითი:

• მაღალი სიჩქარე ორობითი ძიების გამო;
• GET/POST პარამეტრების მხარდაჭერა, ასევე პარამეტრები JSON-ის სახით;

Burp Suite-ის დანამატი მუშაობს მსგავსი პრინციპით - პარამ-მაინერი, რომელიც ასევე ძალიან კარგად არის ფარული HTTP პარამეტრების პოვნაში. ამის შესახებ უფრო მეტს გეტყვით Burp-ისა და მისი დანამატების შესახებ მომავალ სტატიაში.

LinkFinder

LinkFinder - პითონის სკრიპტი JavaScript ფაილებში ბმულების მოსაძებნად. სასარგებლოა ვებ აპლიკაციაში დამალული ან დავიწყებული ბოლო წერტილების/URL-ების მოსაძებნად.

დადებითი:

• Სწრაფი;
• არსებობს სპეციალური მოდული Chrome-ისთვის LinkFinder-ზე დაფუძნებული.

.

Cons:

• არასასიამოვნო საბოლოო დასკვნა;
• არ აანალიზებს JavaScript-ს დროთა განმავლობაში;
• საკმაოდ მარტივი ლოგიკაა ლინკების ძიებისას - თუ JavaScript რატომღაც ბუნდოვანია, ან ბმულები თავდაპირველად აკლია და დინამიურად გენერირებულია, მაშინ ის ვერაფერს იპოვის.

JSParser

JSParser არის პითონის სკრიპტი, რომელიც იყენებს Tornado и JSBeautifier JavaScript ფაილებიდან შედარებითი URL-ების გასაანალიზებლად. ძალიან სასარგებლოა AJAX მოთხოვნების აღმოსაჩენად და API მეთოდების სიის შედგენისთვის, რომლებთანაც აპლიკაცია ურთიერთქმედებს. ეფექტურად მუშაობს LinkFinder-თან ერთად.

დადებითი:

• JavaScript ფაილების სწრაფი ანალიზი.

sqlmap

sqlmap ეს არის ალბათ ერთ-ერთი ყველაზე ცნობილი ინსტრუმენტი ვებ აპლიკაციების ანალიზისთვის. Sqlmap ავტომატიზირებს SQL ინექციების ძიებასა და ფუნქციონირებას, მუშაობს რამდენიმე SQL დიალექტთან და აქვს უამრავი სხვადასხვა ტექნიკა თავის არსენალში, დაწყებული პირდაპირი ციტატებიდან დამთავრებული დროზე დაფუძნებული SQL ინექციების რთულ ვექტორებამდე. გარდა ამისა, მას აქვს მრავალი ტექნიკა შემდგომი ექსპლუატაციისთვის სხვადასხვა DBMS-ებისთვის, ამიტომ ის სასარგებლოა არა მხოლოდ როგორც სკანერი SQL ინექციებისთვის, არამედ როგორც ძლიერი ინსტრუმენტი უკვე ნაპოვნი SQL ინექციების გამოსაყენებლად.

დადებითი:

• სხვადასხვა ტექნიკისა და ვექტორის დიდი რაოდენობა;
• ცრუ პოზიტივის დაბალი რაოდენობა;
• დაზუსტების უამრავი ვარიანტი, სხვადასხვა ტექნიკა, სამიზნე მონაცემთა ბაზა, ჩამრთველი სკრიპტები WAF-ის გვერდის ავლით;
• გამომავალი ნაგავსაყრელის შექმნის შესაძლებლობა;
• ბევრი განსხვავებული ოპერატიული შესაძლებლობა, მაგალითად, ზოგიერთი მონაცემთა ბაზისთვის - ფაილების ავტომატური ჩატვირთვა/გადმოტვირთვა, ბრძანებების შესრულების უნარის მიღება (RCE) და სხვა;
• მონაცემთა ბაზასთან პირდაპირი კავშირის მხარდაჭერა თავდასხმის დროს მიღებული მონაცემების გამოყენებით;
• თქვენ შეგიძლიათ გაგზავნოთ ტექსტური ფაილი Burp-ის შედეგებით, როგორც შეყვანის სახით - არ არის საჭირო ბრძანების ხაზის ყველა ატრიბუტის ხელით შედგენა.

Cons:

• ძნელია მორგება, მაგალითად, საკუთარი ჩეკების დაწერა ამ მწირი დოკუმენტაციის გამო;
• შესაბამისი პარამეტრების გარეშე, ის ასრულებს არასრულ შემოწმებებს, რაც შეიძლება შეცდომაში შეიყვანოს.

NoSQLMap

NoSQLMap — პითონის ინსტრუმენტი NoSQL ინექციების ძებნისა და ექსპლუატაციის ავტომატიზაციისთვის. მოსახერხებელია გამოიყენოს არა მხოლოდ NoSQL მონაცემთა ბაზებში, არამედ უშუალოდ ვებ აპლიკაციების აუდიტის დროს, რომლებიც იყენებენ NoSQL-ს.

დადებითი:

• sqlmap-ის მსგავსად, ის არა მხოლოდ პოულობს პოტენციურ დაუცველობას, არამედ ამოწმებს მისი ექსპლუატაციის შესაძლებლობას MongoDB და CouchDB-სთვის.

Cons:

• არ უჭერს მხარს NoSQL-ს Redis, Cassandra-სთვის, განვითარება ამ მიმართულებით მიმდინარეობს.

oxml_xxe

oxml_xxe - ინსტრუმენტი XXE XML ექსპლოიტების ჩასართავად სხვადასხვა ტიპის ფაილებში, რომლებიც იყენებენ XML ფორმატს რაიმე ფორმით.

დადებითი:

• მხარს უჭერს ბევრ ჩვეულებრივ ფორმატს, როგორიცაა DOCX, ODT, SVG, XML.

Cons:

• PDF, JPEG, GIF მხარდაჭერა სრულად არ არის დანერგილი;
• ქმნის მხოლოდ ერთ ფაილს. ამ პრობლემის გადასაჭრელად შეგიძლიათ გამოიყენოთ ინსტრუმენტი docem, რომელსაც შეუძლია შექმნას დიდი რაოდენობით payload ფაილი სხვადასხვა ადგილას.

ზემოაღნიშნული უტილიტები შესანიშნავად ასრულებენ XXE-ს ტესტირებას XML შემცველი დოკუმენტების ჩატვირთვისას. მაგრამ ასევე გახსოვდეთ, რომ XML ფორმატის დამმუშავებლები შეგიძლიათ ნახოთ ბევრ სხვა შემთხვევაში, მაგალითად, XML შეიძლება გამოყენებულ იქნას მონაცემთა ფორმატად JSON-ის ნაცვლად.

ამიტომ, ჩვენ გირჩევთ, ყურადღება მიაქციოთ შემდეგ საცავს, რომელიც შეიცავს სხვადასხვა დატვირთვის დიდ რაოდენობას: PayloadsAllTheThings.

tplmap

tplmap - პითონის ხელსაწყო სერვერის მხრიდან შაბლონის ინექციის დაუცველობის ავტომატურად იდენტიფიკაციისა და ექსპლუატაციისთვის; მას აქვს sqlmap-ის მსგავსი პარამეტრები და დროშები. იყენებს რამდენიმე განსხვავებულ ტექნიკას და ვექტორს, მათ შორის ბრმა ინექციას, ასევე აქვს კოდის შესრულების ტექნიკა და თვითნებური ფაილების ჩატვირთვა/ატვირთვა. გარდა ამისა, მას თავის არსენალში აქვს ათეული სხვადასხვა შაბლონის ძრავის ტექნიკა და რამდენიმე ტექნიკა eval() მსგავსი კოდის ინექციების მოსაძებნად Python, Ruby, PHP, JavaScript. წარმატების შემთხვევაში, ის ხსნის ინტერაქტიულ კონსოლს.

დადებითი:

• სხვადასხვა ტექნიკისა და ვექტორის დიდი რაოდენობა;
• მხარს უჭერს მრავალი შაბლონის გაცემის ძრავას;
• ბევრი ოპერაციული ტექნიკა.

CeWL

CeWL - ლექსიკონის გენერატორი Ruby-ში, შექმნილი უნიკალური სიტყვების ამოსაღებად მითითებული ვებსაიტიდან, მიჰყვება საიტზე არსებულ ბმულებს მითითებულ სიღრმემდე. უნიკალური სიტყვების შედგენილი ლექსიკონი მოგვიანებით შეიძლება გამოყენებულ იქნას იმავე ვებსაიტზე სერვისებზე ან უხეში ძალისმიერი ფაილების და დირექტორიების პაროლების უხეში მოქმედებისთვის, ან ჰეშკატის ან ჯონ რიპერის გამოყენებით მიღებულ ჰეშებზე თავდასხმისთვის. სასარგებლოა პოტენციური პაროლების „სამიზნე“ სიის შედგენისას.

დადებითი:

• მარტივი გამოსაყენებელია.

Cons:

• ფრთხილად უნდა იყოთ ძიების სიღრმეზე, რათა არ დაიჭიროთ დამატებითი დომენი.

სუსტი უღელტეხილი

სუსტი უღელტეხილი - სერვისი, რომელიც შეიცავს მრავალ ლექსიკონს უნიკალური პაროლებით. უკიდურესად სასარგებლოა სხვადასხვა ამოცანებისთვის, რომლებიც დაკავშირებულია პაროლის გატეხვასთან, დაწყებული სამიზნე სერვისებზე ანგარიშების მარტივი ონლაინ უხეში ძალით დამთავრებული ჰეშების ოფლაინ უხეში ძალით დამთავრებული. ჰეშკატი ან იოანე რიპერი. ის შეიცავს დაახლოებით 8 მილიარდ პაროლს 4-დან 25 სიმბოლომდე სიგრძით.

დადებითი:

• შეიცავს როგორც კონკრეტულ ლექსიკონებს, ასევე ლექსიკონებს ყველაზე გავრცელებული პაროლებით - შეგიძლიათ აირჩიოთ კონკრეტული ლექსიკონი თქვენი საჭიროებისთვის;
• ლექსიკონები განახლებულია და ივსება ახალი პაროლებით;
• ლექსიკონები დალაგებულია ეფექტურობის მიხედვით. თქვენ შეგიძლიათ აირჩიოთ როგორც სწრაფი ონლაინ უხეში ძალის, ასევე პაროლების დეტალური შერჩევის ვარიანტი მოცულობითი ლექსიკონიდან უახლესი გაჟონვით;
• არის კალკულატორი, რომელიც გვიჩვენებს თქვენს მოწყობილობაზე პაროლების უხეში შეტანის დროს.

ჩვენ გვსურს CMS შემოწმების ინსტრუმენტები ცალკე ჯგუფში შევიტანოთ: WPScan, JoomScan და AEM ჰაკერი.

AEM_ჰაკერი

AEM ჰაკერი არის ინსტრუმენტი Adobe Experience Manager (AEM) აპლიკაციებში დაუცველობის იდენტიფიცირებისთვის.

დადებითი:

• შეუძლია AEM აპლიკაციების იდენტიფიცირება მის შეყვანისთვის გაგზავნილი URL-ების სიიდან;
• შეიცავს სკრიპტებს RCE-ს მისაღებად JSP ჭურვის ჩატვირთვის ან SSRF-ის გამოყენებით.

JoomScan

JoomScan — Perl ინსტრუმენტი Joomla CMS-ის დაყენებისას დაუცველობის აღმოჩენის ავტომატიზაციისთვის.

დადებითი:

• შეუძლია იპოვნოს კონფიგურაციის ხარვეზები და პრობლემები ადმინისტრაციულ პარამეტრებთან;
• ჩამოთვლის Joomla-ს ვერსიებს და ასოცირებულ დაუცველობას, ანალოგიურად ცალკეული კომპონენტებისთვის;
• შეიცავს 1000-ზე მეტ ექსპლოიტს Joomla-ს კომპონენტებისთვის;
• საბოლოო ანგარიშების გამოტანა ტექსტურ და HTML ფორმატებში.

WPScan

WPScan - ინსტრუმენტი WordPress საიტების სკანირებისთვის, მას აქვს დაუცველობა თავის არსენალში, როგორც თავად WordPress ძრავისთვის, ასევე ზოგიერთი დანამატისთვის.

დადებითი:

• შეუძლია ჩამოთვალოს არა მხოლოდ არაუსაფრთხო WordPress დანამატები და თემები, არამედ მიიღოს მომხმარებლების სია და TimThumb ფაილები;
• შეუძლია განახორციელოს უხეში ძალის შეტევები WordPress საიტებზე.

Cons:

• შესაბამისი პარამეტრების გარეშე, ის ასრულებს არასრულ შემოწმებებს, რაც შეიძლება შეცდომაში შეიყვანოს.

ზოგადად, სხვადასხვა ადამიანს ურჩევნია სხვადასხვა იარაღები სამუშაოსთვის: ისინი ყველა თავისებურად კარგია და ის, რაც ერთ ადამიანს მოსწონს, შეიძლება საერთოდ არ მოერგოს მეორეს. თუ ფიქრობთ, რომ ჩვენ უსამართლოდ დავაიგნორეთ რაიმე კარგი სასარგებლო პროგრამა, დაწერეთ ამის შესახებ კომენტარებში!

წყარო: www.habr.com