Wapiti - स्वतःहून भेद्यतेसाठी साइट तपासत आहे

शेवटी लेख आम्ही याबद्दल बोललो Nemesida WAF मोफत - हॅकर हल्ल्यांपासून वेबसाइट्स आणि API चे संरक्षण करण्यासाठी एक विनामूल्य साधन आणि यामध्ये आम्ही लोकप्रिय असुरक्षा स्कॅनरचे पुनरावलोकन करण्याचा निर्णय घेतला वापिटी.

असुरक्षिततेसाठी वेबसाइट स्कॅन करणे हे एक आवश्यक उपाय आहे, जे स्त्रोत कोडच्या विश्लेषणासह, तुम्हाला तडजोडीच्या धोक्यांपासून त्याच्या सुरक्षिततेच्या पातळीचे मूल्यांकन करण्यास अनुमती देते. तुम्ही विशेष साधने वापरून वेब संसाधन स्कॅन करू शकता.

Nikto, W3af (Python 2.7 मध्ये लिहिलेले, जे यापुढे समर्थित नाही) किंवा Arachni (फेब्रुवारीपासून समर्थित नाही) हे फ्री सेगमेंटमध्ये सादर केलेले सर्वात लोकप्रिय उपाय आहेत. अर्थात, इतर आहेत, उदाहरणार्थ, वापिटी, ज्यावर आम्ही लक्ष केंद्रित करण्याचा निर्णय घेतला.

Wapiti खालील प्रकारच्या भेद्यतेसह कार्य करते:

• फाइल विस्तार (स्थानिक आणि रिमोट, फोपेन, रीडफाइल);
• इंजेक्शन्स (PHP / JSP / ASP / SQL इंजेक्शन आणि XPath इंजेक्शन);
• XSS (क्रॉस साइट स्क्रिप्टिंग) (चिंतनशील आणि सक्तीचे);
• आदेशांचा शोध आणि अंमलबजावणी (eval(), system(), passtru());
• सीआरएलएफ इंजेक्शन्स (एचटीटीपी प्रतिसाद विभाजन, सत्र निर्धारण);
• XXE (XML बाह्य अस्तित्व) एम्बेडिंग;
• SSRF (सर्व्हर साइड रिक्वेस्ट फोर्जरी);
• ज्ञात संभाव्य धोकादायक फायलींचा वापर (निकटो डेटाबेसला धन्यवाद);
• कमकुवत .htaccess कॉन्फिगरेशन जे बायपास केले जाऊ शकते;
• बॅकअप फायलींची उपस्थिती जी गोपनीय माहिती प्रकट करते (स्रोत कोडचे प्रकटीकरण);
• शेलशॉक;
• उघडे पुनर्निर्देशन;
• नॉन-स्टँडर्ड HTTP पद्धती ज्यांचे निराकरण केले जाऊ शकते (PUT).

वैशिष्ट्ये:

• HTTP, HTTPS आणि SOCKS5 प्रॉक्सी समर्थन;
• अनेक पद्धती वापरून प्रमाणीकरण: बेसिक, डायजेस्ट, कर्बेरोस किंवा एनटीएलएम;
• स्कॅनिंग क्षेत्र मर्यादित करण्याची क्षमता (डोमेन, फोल्डर, पृष्ठ, URL);
• URL मधील पॅरामीटर्सपैकी एक स्वयंचलितपणे काढणे;
• अंतहीन स्कॅन लूप विरुद्ध अनेक सावधगिरी (उदाहरणार्थ: इफोर, ​​पॅरामीटरसाठी मूल्ये मर्यादित करणे);
• URL चे परीक्षण करण्यासाठी प्राधान्य सेट करण्याची क्षमता (जरी ते स्कॅनिंग क्षेत्रात नसले तरीही);
• स्कॅनिंग आणि हल्ल्यांमधून काही URL वगळण्याची क्षमता (उदाहरणार्थ: URL लॉगआउट);
• कुकीज आयात करा (त्या wapiti-getcookie टूल वापरून मिळवा);
• SSL प्रमाणपत्र पडताळणी सक्रिय/निष्क्रिय करण्याची क्षमता;
• JavaScript वरून URL काढण्याची क्षमता (एक अतिशय साधा JS दुभाषी);
• HTML5 सह परस्परसंवाद;
• क्रॉलर वर्तन आणि निर्बंध व्यवस्थापित करण्यासाठी अनेक पर्याय;
• स्कॅनिंग प्रक्रियेसाठी जास्तीत जास्त वेळ सेट करणे;
• काही सानुकूल HTTP शीर्षलेख जोडणे किंवा सानुकूल वापरकर्ता-एजंट सेट करणे.

अतिरिक्त वैशिष्ट्येः

• विविध स्वरूपांमध्ये (HTML, XML, JSON, TXT) असुरक्षा अहवाल तयार करणे;
• विराम देणे आणि स्कॅन किंवा हल्ला पुन्हा सुरू करणे (SQLite3 डेटाबेस वापरून सत्र यंत्रणा);
• असुरक्षा हायलाइट करण्यासाठी टर्मिनलमध्ये बॅकलाइटिंग;
• लॉगिंगचे विविध स्तर;
• हल्ला मॉड्यूल सक्रिय/निष्क्रिय करण्याचा एक जलद आणि सोपा मार्ग.

सेटिंग

Wapiti ची वर्तमान आवृत्ती 2 प्रकारे स्थापित केली जाऊ शकते:

• अधिकाऱ्याकडून स्त्रोत डाउनलोड करा साइट आणि इंस्टॉलेशन स्क्रिप्ट चालवा, आधी Python3 इंस्टॉल केले असेल;
• pip3 install wapiti3 कमांड वापरून.

यानंतर, वापिटी जाण्यासाठी तयार होईल.

साधनासह कार्य करणे

Wapiti चे कार्य प्रदर्शित करण्यासाठी, आम्ही एक खास तयार केलेला स्टँड sites.vulns.pentestit.ru (अंतर्गत संसाधन) वापरु, ज्यामध्ये विविध भेद्यता (इंजेक्शन, XSS, LFI/RFI) आणि वेब ऍप्लिकेशन्सच्या इतर कमतरता असतील.

माहिती केवळ माहितीच्या उद्देशाने प्रदान केली आहे. कायदा मोडू नका!

स्कॅनर लाँच करण्यासाठी मूलभूत आदेश:

# wapiti -u <target> <options>

त्याच वेळी, मोठ्या संख्येने लॉन्च पर्यायांसह बरीच तपशीलवार मदत आहे, उदाहरणार्थ:

--स्कोप - अर्ज क्षेत्र
तुम्ही क्रॉल URL सोबत स्कोप पॅरामीटर निर्दिष्ट केल्यास, तुम्ही साइटचे क्रॉलिंग क्षेत्र एकल पृष्ठ आणि साइटवर आढळू शकणारी सर्व पृष्ठे निर्दिष्ट करून समायोजित करू शकता.

-s и -x — विशिष्ट URL जोडण्यासाठी किंवा काढण्यासाठी पर्याय. जेव्हा तुम्हाला क्रॉल प्रक्रियेदरम्यान एखादी विशिष्ट URL जोडायची किंवा काढून टाकायची असते तेव्हा हे पर्याय उपयुक्त ठरतात.

--वगळा — या की सह निर्दिष्ट पॅरामीटर स्कॅन केला जाईल, परंतु हल्ला केला जाणार नाही. स्कॅनिंग दरम्यान सर्वोत्तम वगळलेले कोणतेही धोकादायक पॅरामीटर्स असल्यास उपयुक्त.

--verify-ssl — प्रमाणपत्र पडताळणी सक्षम किंवा अक्षम करा.
Wapiti स्कॅनर मॉड्यूलर आहे. तथापि, स्कॅनर चालू असताना आपोआप जोडलेल्या मॉड्यूल्ससह, विशिष्ट मॉड्यूल्स लाँच करण्यासाठी, तुम्हाला -m स्विच वापरण्याची आणि स्वल्पविरामाने विभक्त केलेली, तुम्हाला आवश्यक असलेली यादी करणे आवश्यक आहे. की वापरली नसल्यास, सर्व मॉड्यूल डीफॉल्टनुसार कार्य करतील. सर्वात सोप्या आवृत्तीमध्ये ते असे दिसेल:

# wapiti -u http://sites.vulns.pentestit.ru/ -m sql,xss,xxe

या वापर उदाहरणाचा अर्थ असा आहे की लक्ष्य स्कॅन करताना आम्ही फक्त SQL, XSS आणि XXE मॉड्यूल्स वापरू. याव्यतिरिक्त, आपण इच्छित पद्धतीनुसार मॉड्यूलचे ऑपरेशन फिल्टर करू शकता. उदाहरणार्थ -m “xss: get, blindsql: post, xxe: post”. या प्रकरणात, मॉड्यूल xss GET पद्धत आणि मॉड्यूल वापरून पाठवलेल्या विनंत्यांना लागू होईल blibdsql - विनंत्या पोस्ट करण्यासाठी, इ. तसे, जर सूचीमध्ये समाविष्ट केलेले काही मॉड्यूल स्कॅनिंग दरम्यान आवश्यक नसेल किंवा खूप वेळ लागला, तर Ctrl+C संयोजन दाबून तुम्ही परस्परसंवादी मेनूमधील संबंधित आयटम निवडून वर्तमान मॉड्यूल वापरणे वगळू शकता.

Wapiti की वापरून प्रॉक्सीद्वारे विनंत्या पास करण्यास समर्थन देते -p आणि पॅरामीटरद्वारे लक्ष्य साइटवर प्रमाणीकरण -a. तुम्ही प्रमाणीकरण प्रकार देखील निर्दिष्ट करू शकता: बेसिक, पचवणे, केर्बेरोस и एनटीएलएम. शेवटच्या दोनसाठी अतिरिक्त मॉड्यूल्सची स्थापना आवश्यक असू शकते. याव्यतिरिक्त, आपण विनंत्यांमध्ये कोणतेही शीर्षलेख समाविष्ट करू शकता (अनियंत्रित वापरकर्ता एजंट) आणि बरेच काही.

प्रमाणीकरण वापरण्यासाठी तुम्ही टूल वापरू शकता wapiti-getcookie. त्याच्या मदतीने आम्ही तयार करतो कुकी, जे Wapiti स्कॅन करताना वापरेल. निर्मिती कुकी आदेशासह केले:

# wapiti-getcookie -u http://sites.vulns.pentestit.ru/login.php -c cookie.json

परस्परसंवादीपणे कार्य करत असताना, आम्ही प्रश्नांची उत्तरे देतो आणि आवश्यक माहिती जसे की लॉगिन, पासवर्ड इ. सूचित करतो:

आउटपुट JSON फॉरमॅटमधील फाइल आहे. पॅरामीटरद्वारे सर्व आवश्यक माहिती जोडणे हा दुसरा पर्याय आहे -d:

# wapiti-getcookie - http://sites.vulns.pentestit.ru/login.php -c cookie.json -d "username=admin&password=admin&enter=submit"

परिणाम समान असेल:

स्कॅनरच्या मुख्य कार्यक्षमतेचा विचार करताना, आमच्या बाबतीत वेब अनुप्रयोगाची चाचणी करण्याची अंतिम विनंती होती:

# wapiti --level 1 -u http://sites.vulns.pentestit.ru/ -f html -o /tmp/vulns.html -m all --color -с cookie.json --scope folder --flush-session -A 'Pentestit Scans' -p http://proxy.office.pentestit.ru:3128

इतर पॅरामीटर्समध्ये कुठे:

-f и -o - अहवाल जतन करण्यासाठी स्वरूप आणि मार्ग;

-m — सर्व मॉड्यूल कनेक्ट करण्याची शिफारस केलेली नाही, कारण चाचणी वेळ आणि अहवाल आकार प्रभावित करेल;

--रंग — वापिटीनुसारच त्यांच्या गंभीरतेवर अवलंबून आढळलेल्या असुरक्षा हायलाइट करा;

-c - सह फाइल वापरणे कुकी, वापरून व्युत्पन्न केले wapiti-getcookie;

--स्कोप - हल्ल्यासाठी लक्ष्य निवडणे. एक पर्याय निवडत आहे फोल्डर प्रत्येक URL क्रॉल केली जाईल आणि त्यावर हल्ला केला जाईल, मूळ एक पासून सुरू होईल. मूळ URL मध्ये फॉरवर्ड स्लॅश असणे आवश्यक आहे (कोणतेही फाइलनाव नाही);

--फ्लश-सत्र - पुनरावृत्ती स्कॅनिंगसाठी परवानगी देते, ज्यामध्ये मागील परिणाम विचारात घेतले जाणार नाहीत;

-A - स्वतःचे वापरकर्ता एजंट;

-p — आवश्यक असल्यास प्रॉक्सी सर्व्हर पत्ता.

अहवालाबद्दल थोडेसे

स्कॅनिंग निकाल स्पष्ट आणि वाचण्यास-सोप्या स्वरूपात HTML पृष्ठ स्वरूपात आढळलेल्या सर्व भेद्यतेवरील तपशीलवार अहवालाच्या स्वरूपात सादर केला जातो. अहवाल श्रेणी आणि आढळलेल्या भेद्यतेची संख्या, त्यांचे वर्णन, विनंत्या, आज्ञा दर्शवेल केस कुरळे करणे आणि ते कसे बंद करावे यावरील टिपा. नेव्हिगेशनच्या सुलभतेसाठी, श्रेणीच्या नावांमध्ये एक लिंक जोडली जाईल, ज्यावर क्लिक करून तुम्ही त्यावर जाऊ शकता:

अहवालाचा महत्त्वपूर्ण तोटा म्हणजे वेब ऍप्लिकेशन नकाशाची अनुपस्थिती, ज्याशिवाय सर्व पत्ते आणि पॅरामीटर्सचे विश्लेषण केले गेले आहे की नाही हे स्पष्ट होणार नाही. खोट्या सकारात्मक गोष्टींचीही शक्यता असते. आमच्या बाबतीत, अहवालात "बॅकअप फाइल्स" आणि "संभाव्यतः धोकादायक फाइल्स" समाविष्ट आहेत. त्यांची संख्या वास्तविकतेशी संबंधित नाही, कारण सर्व्हरवर अशा कोणत्याही फायली नाहीत:

कदाचित चुकीच्या पद्धतीने कार्यरत मॉड्यूल कालांतराने निश्चित केले जातील. अहवालाचा आणखी एक दोष म्हणजे आढळलेल्या असुरक्षा (त्यांच्या गंभीरतेवर अवलंबून) रंग न देणे किंवा त्यांना किमान श्रेणींमध्ये विभागणे. सापडलेल्या भेद्यतेची गंभीरता अप्रत्यक्षपणे समजून घेण्याचा एकमेव मार्ग म्हणजे पॅरामीटर वापरणे --रंग स्कॅनिंग दरम्यान, आणि नंतर आढळलेल्या भेद्यता वेगवेगळ्या रंगात रंगल्या जातील:

परंतु अहवालातच असे रंग दिलेले नाहीत.

भेद्यता

SQLi

स्कॅनर अंशतः SQLi शोध सह coped. प्रमाणीकरण आवश्यक नसलेल्या पृष्ठांवर SQL भेद्यता शोधताना, कोणतीही समस्या उद्भवत नाही:

वैध वापरूनही, प्रमाणीकरणानंतरच प्रवेश करण्यायोग्य पृष्ठांवर भेद्यता शोधणे शक्य नव्हते कुकी, बहुधा यशस्वी प्रमाणीकरणानंतर, त्यांचे सत्र "लॉग आउट" केले जाईल आणि कुकी अवैध होईल. जर डिऑथॉरायझेशन फंक्शन या प्रक्रियेवर प्रक्रिया करण्यासाठी जबाबदार स्वतंत्र स्क्रिप्ट म्हणून कार्यान्वित केले असेल, तर ते -x पॅरामीटरद्वारे पूर्णपणे वगळणे शक्य होईल आणि त्याद्वारे ते ट्रिगर होण्यापासून प्रतिबंधित केले जाईल. अन्यथा, त्याची प्रक्रिया वगळणे शक्य होणार नाही. ही विशिष्ट मॉड्यूलची समस्या नाही, परंतु संपूर्ण साधनासह, परंतु या सूक्ष्मतेमुळे, बंद स्त्रोत क्षेत्रात अनेक इंजेक्शन शोधणे शक्य नव्हते.

एक्सएसएस

स्कॅनरने दिलेल्या कार्याचा उत्तम प्रकारे सामना केला आणि सर्व तयार असुरक्षा आढळल्या:

LFI/RFI

स्कॅनरला सर्व अंतर्निहित भेद्यता आढळल्या:

सर्वसाधारणपणे, खोटे सकारात्मक आणि गहाळ असुरक्षा असूनही, Wapiti, एक विनामूल्य साधन म्हणून, खूप चांगले कार्यप्रदर्शन परिणाम दर्शवते. कोणत्याही परिस्थितीत, हे ओळखणे योग्य आहे की स्कॅनर जोरदार शक्तिशाली, लवचिक आणि मल्टीफंक्शनल आहे आणि सर्वात महत्त्वाचे म्हणजे ते विनामूल्य आहे, त्यामुळे प्रशासक आणि विकासकांना वेबच्या सुरक्षिततेच्या स्थितीबद्दल मूलभूत माहिती मिळविण्यात मदत करण्यासाठी त्याचा वापर करण्याचा अधिकार आहे. अर्ज

निरोगी आणि संरक्षित रहा!

स्त्रोत: www.habr.com