Prieš kurį laiką rašiau apie , bet šiek tiek menkas ir chaotiškas. Po to nusprendžiau išplėsti apžvalgos įrankių sąrašą, įtraukti straipsnį į struktūrą ir atsižvelgti į kritiką (labai ačiū patarimo) ir išsiuntė SecLab konkursui (ir paskelbė , bet dėl akivaizdžių priežasčių niekas jos nematė). Konkursas baigėsi, rezultatai paskelbti ir ramia sąžine galiu jį (straipsnį) publikuoti Habré.
Nemokami žiniatinklio programos Pentester įrankiai
Šiame straipsnyje kalbėsiu apie populiariausius žiniatinklio programų pentestavimo (siskverbimo testus) įrankius naudojant „juodosios dėžės“ strategiją.
Norėdami tai padaryti, pažvelgsime į komunalines paslaugas, kurios padės atlikti tokio tipo bandymus. Apsvarstykite šias produktų kategorijas:
- Tinklo skaitytuvai
- Žiniatinklio scenarijų pažeidimo skaitytuvai
- Išnaudojimas
- Injekcijų automatizavimas
- Derintuvai (snifferiai, vietiniai tarpiniai serveriai ir kt.)
Kai kurie gaminiai turi universalų „charakterį“, todėl priskirsiu juos kategorijai, kurioje jie turi aоgeresnis rezultatas (subjektyvi nuomonė).
Tinklo skaitytuvai.
Pagrindinis uždavinys – atrasti galimas tinklo paslaugas, įdiegti jų versijas, nustatyti OS ir pan.
Nmap
yra nemokama atvirojo kodo programa, skirta tinklo analizei ir sistemos saugumo auditui. Smurtiniai konsolės priešininkai gali naudoti Zenmap, kuris yra Nmap GUI.
Tai ne tik „protingas“ skaitytuvas, bet ir rimtas išplečiamas įrankis (viena iš „neįprastų savybių“ yra scenarijaus buvimas, skirtas patikrinti, ar mazge nėra kirmino“.“ (paminėta ). Įprasto naudojimo pavyzdys:
nmap -A -T4 localhost
-A skirtas OS versijos aptikimui, scenarijų nuskaitymui ir sekimui
-T4 laiko valdymo nustatymas (daugiau yra greičiau, nuo 0 iki 5)
localhost – tikslinis šeimininkas
Kažkas kietesnio?
nmap -sS -sU -T4 -A -v -PE -PP -PS21,22,23,25,80,113,31339 -PA80,113,443,10042 -PO --script all localhost
Tai parinkčių rinkinys iš „Zenmap“ profilio „lėtas išsamus nuskaitymas“. Tai užtrunka gana ilgai, tačiau galiausiai pateikiama išsamesnė informacija, kurią galima sužinoti apie tikslinę sistemą. , jei nuspręsite pasigilinti, taip pat rekomenduoju išversti straipsnį .
„Nmap“ gavo „Metų saugos produkto“ statusą iš žurnalų ir bendruomenių, tokių kaip „Linux Journal“, „Info World“, „LinuxQuestions.Org“ ir „Codetalker Digest“.
Įdomų momentą Nmap galima pamatyti filmuose „The Matrix Reloaded“, „Die Hard 4“, „The Bourne Ultimatum“, „Hottabych“ ir .
IP-Tools
- tam tikras įvairių tinklo paslaugų rinkinys, pateikiamas su GUI, „skirta“ „Windows“ vartotojams.
Prievado skaitytuvas, bendrinami ištekliai (bendrinami spausdintuvai / aplankai), WhoIs / Finger / Lookup, telnet klientas ir daug daugiau. Tiesiog patogus, greitas, funkcionalus įrankis.
Nėra jokios ypatingos prasmės svarstyti apie kitus gaminius, nes šioje srityje yra daug komunalinių paslaugų ir jų visų veikimo principai ir funkcionalumas yra panašūs. Vis dėlto dažniausiai naudojamas nmap.
Žiniatinklio scenarijų pažeidimo skaitytuvai
Bandymas rasti populiarių pažeidžiamumų (SQL inj, XSS, LFI/RFI ir kt.) arba klaidų (neištrintų laikinųjų failų, katalogų indeksavimo ir kt.)
„Acunetix“ žiniatinklio pažeidžiamumo skaitytuvas
- iš nuorodos matote, kad tai yra xss skaitytuvas, tačiau tai nėra visiškai tiesa. Nemokama versija, kurią rasite čia, suteikia gana daug funkcijų. Paprastai asmuo, kuris pirmą kartą naudoja šį skaitytuvą ir pirmą kartą gauna ataskaitą apie savo išteklius, patiria lengvą šoką, ir jūs suprasite, kodėl tai padarysite. Tai labai galingas produktas, skirtas analizuoti visų rūšių pažeidžiamumą svetainėje ir veikia ne tik su įprastomis PHP svetainėmis, bet ir kitomis kalbomis (nors kalbos skirtumas nėra rodiklis). Apibūdinti instrukcijas nėra jokios prasmės, nes skaitytuvas tiesiog „pasiima“ vartotojo veiksmus. Kažkas panašaus į „kitas, kitas, kitas, paruoštas“ įprastame programinės įrangos diegime.
Nikto
Tai atvirojo kodo (GPL) žiniatinklio tikrinimo programa. Pašalina įprastą rankų darbą. Tikslinėje svetainėje ieško neištrintų scenarijų (kai kurie test.php, index_.php ir kt.), duomenų bazės administravimo įrankių (/phpmyadmin/, /pma ir panašiai) ir kt., ty tikrina išteklius, ar nėra dažniausiai pasitaikančių klaidų. dažniausiai sukelia žmogiškieji veiksniai.
Be to, jei randa kokį nors populiarų scenarijų, jis patikrina, ar nėra išleistų išnaudojimų (kurių yra duomenų bazėje).
Praneša apie galimus „nepageidaujamus“ metodus, tokius kaip PUT ir TRACE
Ir taip toliau. Labai patogu, jei dirbate auditoriumi ir kasdien analizuojate svetaines.
Iš minusų norėčiau atkreipti dėmesį į didelį klaidingų teigiamų rezultatų procentą. Pavyzdžiui, jei jūsų svetainė visada pateikia pagrindinę klaidą, o ne 404 klaidą (kai ji turėtų įvykti), skaitytuvas pasakys, kad jūsų svetainėje yra visi scenarijai ir visos jos duomenų bazės pažeidžiamumas. Praktiškai tai neįvyksta taip dažnai, tačiau iš tikrųjų daug kas priklauso nuo jūsų svetainės struktūros.
Klasikinis naudojimas:
./nikto.pl -host localhost
Jei jums reikia suteikti leidimą svetainėje, nikto.conf faile galite nustatyti slapuką, kintamąjį STATIC-COOKIE.
Wikto
— Nikto, skirta Windows, tačiau su tam tikrais papildymais, pvz., „neaiškia“ logika tikrinant kodą dėl klaidų, naudojant GHDB, gaunant nuorodas ir išteklių aplankus, stebint HTTP užklausas/atsakymus realiuoju laiku. Wikto parašyta C# ir jai reikalinga .NET sistema.
skipfish
- žiniatinklio pažeidžiamumo skaitytuvas iš (žinomas kaip lcamtuf). Parašyta C, įvairiose platformose (Win reikalauja Cygwin). Rekursyviai (ir labai ilgai, apie 20-40 val., nors paskutinį kartą man veikė 96 val.) apžiūrinėja visą svetainę ir randa visokių saugumo spragų. Tai taip pat generuoja daug srauto (keli GB įeinantys / išeinantys). Bet visos priemonės yra geros, ypač jei turite laiko ir išteklių.
Įprastas naudojimas:
./skipfish -o /home/reports www.example.com
„Ataskaitų“ aplanke bus ataskaita html, .
w3af
— Web Application Attack and Audit Framework, atvirojo kodo žiniatinklio pažeidžiamumo skaitytuvas. Jis turi GUI, bet galite dirbti iš konsolės. Tiksliau, tai karkasas su .
Apie jo privalumus galima kalbėti ilgai, geriau pabandyti :] Įprastas darbas su juo priklauso nuo profilio parinkimo, tikslo sukonkretinimo ir, tiesą sakant, paleidimo.
Mantra saugos sistema
yra svajonė, kuri išsipildė. Nemokamų ir atvirų informacijos saugos įrankių rinkinys, integruotas į žiniatinklio naršyklę.
Labai naudinga bandant žiniatinklio programas visais etapais.
Naudojimas apsiriboja naršyklės įdiegimu ir paleidimu.
Tiesą sakant, šioje kategorijoje yra daug komunalinių paslaugų ir gana sunku iš jų pasirinkti konkretų sąrašą. Dažniausiai kiekvienas pentesteris pats nustato jam reikalingų įrankių rinkinį.
Išnaudojimas
Automatizuotam ir patogesniam pažeidžiamumų išnaudojimui exploitai rašomi programinėje įrangoje ir scenarijuose, kuriems tereikia perduoti parametrus, norint išnaudoti saugumo spragą. Be to, yra produktų, kurie pašalina poreikį rankiniu būdu ieškoti išnaudojimų ir netgi juos pritaikyti. Ši kategorija dabar bus aptarta.
Metasploit sistema
- savotiškas monstras mūsų versle. Jis gali padaryti tiek daug, kad instrukcijos apims kelis straipsnius. Mes pažvelgsime į automatinį išnaudojimą (nmap + metasploit). Esmė tokia: Nmap išanalizuos mums reikalingą prievadą, įdiegs paslaugą, o metasploit bandys jai pritaikyti išnaudojimus pagal paslaugų klasę (ftp, ssh ir kt.). Vietoj tekstinių instrukcijų įterpsiu vaizdo įrašą, gana populiarų autopwn tema
Arba galime tiesiog automatizuoti reikalingo išnaudojimo veikimą. Pvz.:
msf > use auxiliary/admin/cisco/vpn_3000_ftp_bypass
msf auxiliary(vpn_3000_ftp_bypass) > set RHOST [TARGET IP]
msf auxiliary(vpn_3000_ftp_bypass) > run
Tiesą sakant, šios sistemos galimybės yra labai plačios, todėl jei nuspręsite pasigilinti, eikite į
Armitage
– „Metasploit“ skirta kiberpunk žanro GUI OVA. Vizualizuoja tikslą, rekomenduoja išnaudojimus ir suteikia išplėstines sistemos funkcijas. Apskritai, tiems, kurie mėgsta viską atrodyti gražiai ir įspūdingai.
Ekrano transliacija:
Tenable Nessus®
- gali padaryti daug dalykų, tačiau vienas iš mums reikalingų galimybių yra nustatyti, kurios paslaugos turi išnaudojimų. Nemokama produkto versija „tik namuose“
Использование:
- Atsisiųsta (jūsų sistemai), įdiegta, užregistruota (raktas atsiųstas į jūsų el.
- Paleido serverį, įtraukė vartotoją į „Nessus Server Manager“ (mygtukas „Tvarkyti vartotojus“)
- Einame adresu
https://localhost:8834/
ir įkiškite „flash“ klientą į naršyklę
- Nuskaitymai -> Pridėti -> užpildykite laukus (pasirinkdami mums tinkantį nuskaitymo profilį) ir spustelėkite Nuskaityti
Po kurio laiko nuskaitymo ataskaita bus rodoma skirtuke Ataskaitos
Norėdami patikrinti praktinį paslaugų pažeidžiamumą išnaudojimams, galite naudoti aukščiau aprašytą Metasploit Framework arba pabandyti rasti išnaudojimą (pvz., , , ir tt) ir naudokite jį rankiniu būdu prieš jos sistema
IMHO: per didelis. Atvedžiau jį kaip vieną iš šios programinės įrangos pramonės lyderių.
Injekcijų automatizavimas
Daugelis žiniatinklio programų sekcinių skaitytuvų ieško injekcijų, tačiau jie vis dar yra tik bendrieji skaitytuvai. Ir yra komunalinių paslaugų, kurios konkrečiai užsiima injekcijų paieška ir naudojimu. Dabar apie juos kalbėsime.
sqlmap
- atvirojo kodo įrankis, skirtas SQL injekcijoms ieškoti ir naudoti. Palaiko tokius duomenų bazių serverius kaip: MySQL, Oracle, PostgreSQL, Microsoft SQL Server, Microsoft Access, SQLite, Firebird, Sybase, SAP MaxDB.
Įprastas naudojimas susiveda į eilutę:
python sqlmap.py -u "http://example.com/index.php?action=news&id=1"
Yra pakankamai vadovų, įskaitant rusų kalba. Programinė įranga labai palengvina pentesterio darbą dirbant šioje srityje.
Pridedu oficialų vaizdo demonstravimą:
bsqlbf-v2
- Perl scenarijus, brutalus forcer "akliems" SQL injekcijoms. Jis veikia tiek su sveikųjų skaičių reikšmėmis URL, tiek su eilutės reikšmėmis.
Palaikoma duomenų bazė:
- MS-SQL
- MySQL
- PostgreSQL
- orakulas
Naudojimo pavyzdys:
./bsqlbf-v2-3.pl -url www.somehost.com/blah.php?u=5 -blind u -sql "select table_name from imformation_schema.tables limit 1 offset 0" -database 1 -type 1
-url — Ryšys su parametrais
- aklas u - įpurškimo parametras (pagal numatytuosius nustatymus paskutinis paimamas iš adreso juostos)
-sql "pasirinkti lentelės_pavadinimą iš imformation_schema.tables limito 1 poslinkis 0" — mūsų savavališkas prašymas į duomenų bazę
- 1 duomenų bazė — duomenų bazės serveris: MSSQL
- 1 tipas — atakos tipas, „aklas“ įpurškimas, pagrįstas True ir Error (pavyzdžiui, sintaksės klaidos) atsakymais
Derinimo priemonės
Šiuos įrankius daugiausia naudoja kūrėjai, kai jiems kyla problemų dėl kodo vykdymo rezultatų. Tačiau ši kryptis taip pat naudinga atliekant pentestavimą, kai galime pakeisti mums reikalingus duomenis skrydžio metu, analizuoti, kas gaunama reaguojant į mūsų įvesties parametrus (pavyzdžiui, fuzzingo metu) ir pan.
Liukso numeris „Burp“
— paslaugų rinkinys, padedantis atlikti įsiskverbimo testus. Tai yra internete rusų kalba iš Raz0r (nors 2008 m.).
Nemokama versija apima:
- Burp Proxy yra vietinis tarpinis serveris, leidžiantis keisti jau sugeneruotas naršyklės užklausas
- Burp Spider – voras, ieško esamų failų ir katalogų
- Burp Repeater – rankinis HTTP užklausų siuntimas
- Burp Sequencer - atsitiktinių verčių formų analizė
- Burp Decoder yra standartinis kodavimo dekoderis (html, base64, hex ir kt.), kurių yra tūkstančiai, kuriuos galima greitai parašyti bet kuria kalba
- Burp Comparer – stygų palyginimo komponentas
Iš esmės šis paketas išsprendžia beveik visas su šia sritimi susijusias problemas.
Fiddler
— „Fiddler“ yra derinimo tarpinis serveris, registruojantis visą HTTP(S) srautą. Leidžia ištirti šį srautą, nustatyti pertraukos taškus ir „žaisti“ su gaunamais arba išeinančiais duomenimis.
Yra taip pat , monstras ir kiti, pasirinkimas priklauso nuo vartotojo.
išvada
Natūralu, kad kiekvienas pentesteris turi savo arsenalą ir savo komunalinių paslaugų rinkinį, nes jų tiesiog yra daug. Pabandžiau išvardyti keletą patogiausių ir populiariausių. Bet kad kas nors galėtų susipažinti su kitomis šios krypties komunalinėmis paslaugomis, toliau pateiksiu nuorodas.
Įvairūs skaitytuvų ir komunalinių paslaugų topai/sąrašai
- .
„Linux“ paskirstymai, kuriuose jau yra daugybė skirtingų tikrinimo paslaugų
upd: rusų kalba iš „Hack4Sec“ komandos (pridėta )
PS Negalime tylėti apie XSpider. Nedalyvauja peržiūroje, nors tai yra shareware (sužinojau, kai nusiunčiau straipsnį į SecLab, iš tikrųjų dėl to (ne žinių, o ir naujausios versijos 7.8 trūkumo) ir neįtraukiau į straipsnį). Ir teoriškai buvo numatyta jo peržiūra (turiu tam paruoštus sunkius testus), bet nežinau, ar pasaulis tai pamatys.
PPS Kai kuri straipsnio medžiaga bus naudojama pagal paskirtį būsimoje ataskaitoje adresu 2012 m. QA skyriuje, kuriame bus čia nepaminėti įrankiai (žinoma, nemokami), taip pat algoritmas, kokia tvarka ką naudoti, kokio rezultato tikėtis, kokias konfigūracijas naudoti ir visokių užuominų bei gudrybių, kada dirbu (apie reportažą galvoju beveik kiekvieną dieną , pasistengsiu pasakyti viską, kas geriausia temos tema)
Beje, šio straipsnio pamoka buvo adresu Atviros InfoSec dienos (, ), gali apiplėšė korovanus pažiūrėk .
Šaltinis: www.habr.com