Веб алатки, или од каде треба да започне пентестер?

Продолжуваме зборувајте за корисни алатки за пестери. Во новата статија ќе разгледаме алатки за анализа на безбедноста на веб апликациите.

Наш колега BeLove Јас веќе направив вакво нешто компилација пред околу седум години. Интересно е да се види кои алатки ги задржале и зацврстиле своите позиции, а кои исчезнале во втор план и сега ретко се користат.


Забележете дека ова го вклучува и Burp Suite, но ќе има посебна публикација за него и неговите корисни додатоци.

Содржина:

• Амас
• Altdns
• акватон
• MassDNS
• nsec3map
• Акунетикс
• Барање
• wfuzz
• фуфф
• гобастер
• Арџун
• LinkFinder
• JSParser
• sqlmap
• NoSQLMap
• oxml_xxe
• tplmap
• CeWL
• Слаб пропуст
• AEM_хакер
• JoomScan
• WPScan

Амас

Амас - Go алатка за пребарување и набројување на DNS поддомени и мапирање на надворешната мрежа. Amass е проект OWASP дизајниран да покаже како изгледаат организациите на Интернет на аутсајдер. Amass добива имиња на поддомени на различни начини; алатката користи и рекурзивно набројување на поддомени и пребарување со отворен код.

За да открие меѓусебно поврзани мрежни сегменти и броеви на автономни системи, Amass користи IP адреси добиени за време на работата. Сите пронајдени информации се користат за изградба на мрежна мапа.

Позитивни:

• Техниките за собирање информации вклучуваат:
  * DNS - пребарување на речник на поддомени, bruteforce поддомени, паметно пребарување со помош на мутации засновани на пронајдени поддомени, обратни барања за DNS и пребарување на DNS сервери каде што е можно да се направи барање за пренос на зона (AXFR);

  * Пребарување со отворен код - Ask, Baidu, Bing, CommonCrawl, DNSDB, DNSDumpster, DNSTable, Dogpile, Exalead, FindSubdomains, Google, IPv4Info, Netcraft, PTRArchive, Riddler, SiteDossier, ThreatCrowd, VirusTotal, Yahoo;

  * Пребарајте бази на податоци за сертификати TLS - Censys, CertDB, CertSpotter, Crtsh, Entrust;

  * Користење на API на пребарувачот - BinaryEdge, BufferOver, CIRCL, HackerTarget, PassiveTotal, Robtex, SecurityTrails, Shodan, Twitter, Umbrella, URLScan;

  * Пребарајте веб-архиви на Интернет: ArchiveIt, ArchiveToday, Arquivo, LoCarchive, OpenUKArchive, UKGovArchive, Wayback;

• Интеграција со Малтего;
• Обезбедува најцелосно покривање на задачата за пребарување на поддомени DNS.

Конс:

• Бидете внимателни со amass.netdomains - ќе се обиде да контактира со секоја IP адреса во идентификуваната инфраструктура и да добие имиња на домени од обратно пребарување на DNS и TLS сертификати. Ова е техника на „висок профил“, може да ги открие вашите разузнавачки активности во организацијата што е под истрага.
• Висока потрошувачка на меморија, може да потроши до 2 GB RAM во различни поставки, што нема да ви дозволи да ја стартувате оваа алатка во облак на евтин VDS.

Altdns

Altdns — Python алатка за составување речници за набројување на поддомени DNS. Ви овозможува да генерирате многу варијанти на поддомени користејќи мутации и пермутации. За ова се користат зборови кои често се наоѓаат во поддомени (на пример: тест, dev, фаза), сите мутации и пермутации се применуваат на веќе познати поддомени, кои можат да се поднесат на влезот Altdns. Излезот е листа на варијации на поддомени што може да постојат, а оваа листа подоцна може да се користи за DNS брутална сила.

Позитивни:

• Работи добро со големи збирки податоци.

акватон

акватон - претходно беше попозната како друга алатка за пребарување на поддомени, но самиот автор го напушти ова во корист на гореспоменатиот Amass. Сега акватонот е препишан во Go и е повеќе приспособен за прелиминарно извидување на веб-страниците. За да го направите ова, aquatone поминува низ наведените домени и бара веб-страници на различни пристаништа, по што ги собира сите информации за страницата и прави скриншот. Погодно за брзо прелиминарно извидување на веб-страниците, по што можете да изберете приоритетни цели за напади.

Позитивни:

• Излезот создава група датотеки и папки кои се погодни за користење при понатамошна работа со други алатки:
  * HTML извештај со собрани слики од екранот и наслови на одговори групирани по сличност;

  * Датотека со сите URL-адреси каде се пронајдени веб-локациите;

  * Датотека со статистика и податоци за страницата;

  * Папка со датотеки што содржат заглавија на одговор од пронајдени цели;

  * Папка со датотеки што го содржат телото на одговорот од пронајдените цели;

  * Слики од екранот на пронајдените веб-локации;

• Поддржува работа со XML извештаи од Nmap и Masscan;
• Користи Chrome/Chromium без глава за прикажување слики од екранот.

Конс:

• Може да го привлече вниманието на системите за откривање на упад, па затоа бара конфигурација.

Сликата од екранот е направена за една од старите верзии на aquatone (v0.5.0), во која е имплементирано пребарување на поддомен DNS. Постарите верзии може да се најдат на страница со изданија.

MassDNS

MassDNS е уште една алатка за наоѓање поддомени на DNS. Неговата главна разлика е во тоа што прави барања за DNS директно до многу различни разрешувачи на DNS и тоа го прави со значителна брзина.

Позитивни:

• Брзо - способно да реши повеќе од 350 илјади имиња во секунда.

Конс:

• MassDNS може да предизвика значително оптоварување на резолуторите на DNS што се користат, што може да доведе до забрани на тие сервери или жалби до вашиот интернет провајдер. Дополнително, ќе постави големо оптоварување на DNS серверите на компанијата, доколку ги имаат и дали се одговорни за домените што се обидувате да ги решите.
• Списокот на резолутори е моментално застарен, но ако ги изберете скршените резолутори на DNS и додадете нови познати, сè ќе биде во ред.

Слика од екранот на aquatone v0.5.0

nsec3map

nsec3map е Python алатка за добивање комплетна листа на домени заштитени со DNSSEC.

Позитивни:

• Брзо ги открива хостовите во зоните на DNS со минимален број на прашања доколку е овозможена поддршката за DNSSEC во зоната;
• Вклучува приклучок за Џон Мевосек што може да се користи за пробивање на добиените хашови NSEC3.

Конс:

• Многу DNS грешки не се постапуваат правилно;
• Нема автоматска паралелизација на обработката на записите на NSEC - треба рачно да го поделите просторот за имиња;
• Висока потрошувачка на меморија.

Акунетикс

Акунетикс — веб-скенер за ранливост што го автоматизира процесот на проверка на безбедноста на веб-апликациите. Ја тестира апликацијата за SQL инјекции, XSS, XXE, SSRF и многу други веб пропусти. Сепак, како и секој друг скенер, разновидните веб пропусти не го заменуваат пентестерот, бидејќи не може да најде сложени синџири на пропусти или пропусти во логиката. Но, покрива многу различни ранливости, вклучително и разни CVE, на кои петестерот можеби заборавил, па затоа е многу погодно да ве ослободи од рутински проверки.

Позитивни:

• Ниско ниво на лажни позитиви;
• Резултатите може да се извезат како извештаи;
• Врши голем број на проверки за различни пропусти;
• Паралелно скенирање на повеќе хостови.

Конс:

• Не постои алгоритам за дедупликација (Acunetix ќе ги смета страниците кои се идентични по функционалност за различни, бидејќи водат до различни URL адреси), но програмерите работат на тоа;
• Потребна е инсталација на посебен веб-сервер, што го отежнува тестирањето на клиентските системи со VPN конекција и користењето на скенерот во изолиран сегмент од локалната клиентска мрежа;
• Услугата што се проучува може да направи бучава, на пример, со испраќање премногу вектори на напад на контакт формата на страницата, а со тоа во голема мера ги комплицира деловните процеси;
• Тоа е комерцијално и, соодветно, не бесплатно решение.

Барање

Барање — алатка за Python за брутално принудување директориуми и датотеки на веб-локации.

Позитивни:

• Може да разликува вистински страници „200 OK“ од страници „200 OK“, но со текст „страницата не е пронајдена“;
• Доаѓа со практичен речник кој има добар баланс помеѓу големината и ефикасноста на пребарувањето. Содржи стандардни патеки заеднички за многу CMS и технолошки стекови;
• Сопствен формат на речник, кој ви овозможува да постигнете добра ефикасност и флексибилност во набројувањето датотеки и директориуми;
• Практичен излез - обичен текст, JSON;
• Може да направи пригушување - пауза помеѓу барањата, што е од витално значење за секоја слаба услуга.

Конс:

• Екстензии мора да се пренесат како низа, што е незгодно ако треба да поминете многу екстензии одеднаш;
• За да го користите вашиот речник, тој ќе треба малку да се измени во форматот на речникот Dirsearch за максимална ефикасност.

wfuzz

wfuzz - Пајтон веб-апликација fuzzer. Веројатно еден од најпознатите веб-фајзери. Принципот е едноставен: wfuzz ви овозможува фазирање на кое било место во барањето HTTP, што овозможува фазирање на параметрите GET/POST, заглавијата на HTTP, вклучително и на колачињата и другите заглавија за автентикација. Во исто време, исто така е погодно за едноставна брутална сила на директориуми и датотеки, за што ви треба добар речник. Има и флексибилен систем за филтрирање, со кој можете да ги филтрирате одговорите од веб-локацијата според различни параметри, што ви овозможува да постигнете ефективни резултати.

Позитивни:

• Мултифункционална - модуларна структура, склопувањето трае неколку минути;
• Практичен механизам за филтрирање и заматување;
• Можете да фазите кој било HTTP метод, како и кое било место во барањето HTTP.

Конс:

• Во фаза на развој.

фуфф

фуфф — веб fuzzer во Go, создаден во „слика и сличност“ на wfuzz, ви овозможува брутирање на датотеки, директориуми, патеки на URL, имиња и вредности на GET/POST параметри, HTTP заглавија, вклучувајќи го и заглавието на Host за брутална сила на виртуелни домаќини. wfuzz се разликува од неговиот брат по поголема брзина и некои нови функции, на пример, поддржува речници со формат Dirsearch.

Позитивни:

• Филтрите се слични на филтрите wfuzz, тие ви дозволуваат флексибилно да ја конфигурирате бруталната сила;
• Ви овозможува да ги заматите вредностите на заглавието на HTTP, податоците за барањето POST и различни делови од URL-то, вклучувајќи имиња и вредности на параметрите GET;
• Можете да наведете кој било метод на HTTP.

Конс:

• Во фаза на развој.

гобастер

гобастер — Go алатка за извидување, има два начини на работа. Првиот се користи за брутална сила на датотеки и директориуми на веб-локација, вториот се користи за брутална сила на DNS поддомени. Алатката првично не поддржува рекурзивно набројување на датотеки и директориуми, што, се разбира, заштедува време, но од друга страна, бруталната сила на секоја нова крајна точка на веб-локацијата мора да се стартува посебно.

Позитивни:

• Голема брзина на работа и за брутална сила за пребарување на поддомени DNS и за брутална сила на датотеки и директориуми.

Конс:

• Тековната верзија не поддржува поставување HTTP заглавија;
• Стандардно, само некои од статусните кодови на HTTP (200,204,301,302,307) се сметаат за валидни.

Арџун

Арџун - алатка за брутална сила на скриените HTTP параметри во GET/POST параметрите, како и во JSON. Вградениот речник има 25 зборови, кои Ајрун ги проверува за речиси 980 секунди. Финтата е што Ајрун не го проверува секој параметар посебно, туку проверува ~ 30 параметри одеднаш и гледа дали одговорот е сменет. Ако одговорот е променет, тој ги дели овие 1000 параметри на два дела и проверува кој од овие делови влијае на одговорот. Така, користејќи едноставно бинарно пребарување, се наоѓа параметар или неколку скриени параметри кои влијаеле на одговорот и, според тоа, може да постојат.

Позитивни:

• Голема брзина поради бинарно пребарување;
• Поддршка за GET/POST параметри, како и параметри во форма на JSON;

Приклучокот за Burp Suite работи на сличен принцип - парам-рудар, што е исто така многу добро во наоѓање скриени HTTP параметри. Ќе ви кажеме повеќе за тоа во претстојната статија за Burp и неговите приклучоци.

LinkFinder

LinkFinder — Python скрипта за пребарување на врски во датотеките JavaScript. Корисно за наоѓање скриени или заборавени крајни точки/URL-а во веб-апликација.

Позитивни:

• Брзо;
• Постои специјален приклучок за Chrome базиран на LinkFinder.

.

Конс:

• Незгоден конечен заклучок;
• Не го анализира JavaScript со текот на времето;
• Сосема едноставна логика за пребарување врски - ако JavaScript е некако заматен, или линковите првично недостасуваат и се генерираат динамично, тогаш нема да може да најде ништо.

JSParser

JSParser е Python скрипта што користи Торнадо и JSBeautifier да ги анализира релативните URL-адреси од датотеките JavaScript. Многу корисно за откривање на AJAX барања и составување листа на API методи со кои апликацијата комуницира. Работи ефикасно во врска со LinkFinder.

Позитивни:

• Брзо парсирање на датотеки со JavaScript.

sqlmap

sqlmap е веројатно една од најпознатите алатки за анализа на веб апликации. Sqlmap го автоматизира пребарувањето и работењето на SQL инјекции, работи со неколку SQL дијалекти и има огромен број на различни техники во својот арсенал, кои се движат од директно наводници до сложени вектори за SQL инјекции базирани на време. Покрај тоа, тој има многу техники за понатамошна експлоатација за различни DBMS, па затоа е корисен не само како скенер за инјекции на SQL, туку и како моќна алатка за искористување на веќе пронајдените SQL инјекции.

Позитивни:

• Голем број на различни техники и вектори;
• Мал број на лажни позитиви;
• Многу опции за дотерување, различни техники, целна база на податоци, скрипти за заобиколување на WAF;
• Способност да се создаде излезна депонија;
• Многу различни оперативни способности, на пример, за некои бази на податоци - автоматско вчитување/растовар на датотеки, добивање можност за извршување на команди (RCE) и други;
• Поддршка за директно поврзување со базата на податоци користејќи податоци добиени за време на напад;
• Можете да поднесете текстуална датотека со резултатите од Burp како влез - нема потреба рачно да ги составувате сите атрибути на командната линија.

Конс:

• Тешко е да се приспособите, на пример, да напишете некои од вашите сопствени чекови поради оскудната документација за ова;
• Без соодветните поставки, тој врши нецелосен сет на проверки, што може да доведе до заблуда.

NoSQLMap

NoSQLMap — Python алатка за автоматизирање на пребарувањето и искористувањето на NoSQL инјекциите. Удобно е да се користи не само во базите на податоци на NoSQL, туку и директно при ревизија на веб-апликации кои користат NoSQL.

Позитивни:

• Како sqlmap, не само што наоѓа потенцијална ранливост, туку ја проверува и можноста за нејзина експлоатација за MongoDB и CouchDB.

Конс:

• Не поддржува NoSQL за Redis, Cassandra, развојот е во тек во оваа насока.

oxml_xxe

oxml_xxe — алатка за вградување XXE XML експлоатира во различни типови на датотеки кои користат XML формат во некоја форма.

Позитивни:

• Поддржува многу вообичаени формати како што се DOCX, ODT, SVG, XML.

Конс:

• Поддршката за PDF, JPEG, GIF не е целосно имплементирана;
• Создава само една датотека. За да го решите овој проблем, можете да ја користите алатката docem, што може да создаде голем број датотеки со товар на различни места.

Горенаведените комунални услуги прават одлична работа за тестирање на XXE при вчитување документи што содржат XML. Но, исто така, запомнете дека ракувачите со XML формат може да се најдат во многу други случаи, на пример, XML може да се користи како формат на податоци наместо JSON.

Затоа, ви препорачуваме да обрнете внимание на следното складиште, кое содржи голем број различни носивост: PayloadsAllTheThings.

tplmap

tplmap - алатка на Python за автоматска идентификација и искористување на пропустите за инјектирање на шаблон од страна на серверот; има поставки и знаменца слични на sqlmap. Користи неколку различни техники и вектори, вклучително и слепо вбризгување, а исто така има и техники за извршување на код и вчитување/поставување произволни датотеки. Покрај тоа, тој има во својот арсенал техники за десетина различни мотори на шаблони и некои техники за пребарување на инјекции на код слични на eval() во Python, Ruby, PHP, JavaScript. Ако е успешна, отвора интерактивна конзола.

Позитивни:

• Голем број на различни техники и вектори;
• Поддржува многу мотори за рендерирање шаблони;
• Многу оперативни техники.

CeWL

CeWL - генератор на речник во Руби, создаден за извлекување уникатни зборови од одредена веб-локација, ги следи врските на страницата до одредена длабочина. Составениот речник на уникатни зборови подоцна може да се користи за брутална сила на лозинки на услуги или датотеки и директориуми со брутална сила на истата веб-локација, или за напад на добиените хаши со помош на хашкет или Џон Мевосек. Корисно при составување „целна“ листа на потенцијални лозинки.

Позитивни:

• Лесен за користење.

Конс:

• Треба да бидете внимателни со длабочината на пребарувањето за да не фатите дополнителен домен.

Слаб пропуст

Слаб пропуст - услуга која содржи многу речници со единствени лозинки. Исклучително корисен за различни задачи поврзани со пробивање лозинка, почнувајќи од едноставна онлајн брутална сила на сметките на целните услуги, до офлајн брутална сила на примени хашови со користење хашкат или Џон Мевосек. Содржи околу 8 милијарди лозинки со должина од 4 до 25 знаци.

Позитивни:

• Содржи и специфични речници и речници со најчести лозинки - можете да изберете специфичен речник за вашите потреби;
• Речниците се ажурираат и се надополнуваат со нови лозинки;
• Речниците се подредени по ефикасност. Можете да ја изберете опцијата и за брза онлајн брутална сила и за детален избор на лозинки од обемниот речник со најновите протекувања;
• Има калкулатор што го покажува времето потребно за брутална употреба на лозинки на вашата опрема.

Би сакале да вклучиме алатки за CMS проверки во посебна група: WPScan, JoomScan и AEM хакер.

AEM_хакер

AEM хакер е алатка за идентификација на пропусти во апликациите Adobe Experience Manager (AEM).

Позитивни:

• Може да ги идентификува AEM апликациите од списокот на URL-адреси доставени до неговиот влез;
• Содржи скрипти за добивање RCE со вчитување на JSP школка или искористување на SSRF.

JoomScan

JoomScan — Perl алатка за автоматизирање на откривање на пропусти при распоредување на Joomla CMS.

Позитивни:

• Можност за наоѓање недостатоци во конфигурацијата и проблеми со административните поставки;
• Ги наведува верзиите на Joomla и поврзаните пропусти, слично за поединечни компоненти;
• Содржи повеќе од 1000 експлоатирања за компонентите на Joomla;
• Излез на финални извештаи во текст и HTML формати.

WPScan

WPScan - алатка за скенирање на сајтови на WordPress, има пропусти во својот арсенал и за самиот мотор на WordPress и за некои приклучоци.

Позитивни:

• Способни да наведат не само небезбедни приклучоци и теми на WordPress, туку и да добиваат листа на корисници и датотеки TimThumb;
• Може да изврши напади со брутална сила на сајтовите на WordPress.

Конс:

• Без соодветните поставки, тој врши нецелосен сет на проверки, што може да доведе до заблуда.

Општо земено, различни луѓе претпочитаат различни алатки за работа: сите тие се добри на свој начин, а она што му се допаднало на една личност можеби не е соодветно за друго. Ако мислите дека неправедно игнориравме некоја добра корист, пишете за тоа во коментарите!

Извор: www.habr.com