Wapiti - आफैमा कमजोरीहरूको लागि साइट जाँच गर्दै

विगतमा लेख हामीले कुरा गर्यौं Nemesida WAF नि: शुल्क - ह्याकर आक्रमणहरूबाट वेबसाइटहरू र एपीआईहरू जोगाउनको लागि नि: शुल्क उपकरण, र यसमा हामीले लोकप्रिय भेद्यता स्क्यानर समीक्षा गर्ने निर्णय गर्यौं। वापिती.

कमजोरीहरूको लागि वेबसाइट स्क्यान गर्नु एक आवश्यक उपाय हो, जसले स्रोत कोडको विश्लेषणको साथमा, तपाईंलाई सम्झौताको खतराहरू विरुद्ध यसको सुरक्षाको स्तर मूल्याङ्कन गर्न अनुमति दिन्छ। तपाइँ विशेष उपकरणहरू प्रयोग गरेर वेब स्रोत स्क्यान गर्न सक्नुहुन्छ।

Nikto, W3af (Python 2.7 मा लेखिएको, जुन अब समर्थित छैन) वा Arachni (फेब्रुअरीदेखि समर्थित छैन) नि:शुल्क खण्डमा प्रस्तुत गरिएका सबैभन्दा लोकप्रिय समाधानहरू हुन्। निस्सन्देह, त्यहाँ अरूहरू छन्, उदाहरणका लागि, Wapiti, जुन हामीले फोकस गर्ने निर्णय गर्यौं।

Wapiti ले निम्न प्रकारका कमजोरीहरूसँग काम गर्दछ:

• फाइल विस्तार (स्थानीय र रिमोट, fopen, readfile);
• इंजेक्शन (PHP / JSP / ASP / SQL इंजेक्शन र XPath इंजेक्शन);
• XSS (क्रस साइट स्क्रिप्टिङ) (प्रतिबिंबित र निरन्तर);
• पत्ता लगाउने र आदेशहरूको कार्यान्वयन (eval(), system(), passtru());
• CRLF इंजेक्शन (HTTP प्रतिक्रिया विभाजन, सत्र निर्धारण);
• XXE (XML बाह्य इकाई) इम्बेडिङ;
• SSRF (सर्भर साइड रिक्वेस्ट फोर्जरी);
• ज्ञात सम्भावित खतरनाक फाइलहरूको प्रयोग (निकटो डाटाबेसलाई धन्यवाद);
• कमजोर htaccess कन्फिगरेसनहरू जुन बाइपास गर्न सकिन्छ;
• ब्याकअप फाइलहरूको उपस्थिति जसले गोप्य जानकारी प्रकट गर्दछ (स्रोत कोडको खुलासा);
• शेलशक;
• खुला रिडिरेक्टहरू;
• गैर-मानक HTTP विधिहरू जुन समाधान गर्न सकिन्छ (PUT)।

विशेषताहरू:

• HTTP, HTTPS र SOCKS5 प्रोक्सी समर्थन;
• धेरै विधिहरू प्रयोग गरेर प्रमाणीकरण: आधारभूत, डाइजेस्ट, केर्बेरोस वा NTLM;
• स्क्यानिङ क्षेत्र सीमित गर्ने क्षमता (डोमेन, फोल्डर, पृष्ठ, URL);
• URL मा एक प्यारामिटर को स्वचालित हटाउने;
• अनन्त स्क्यान लूपहरू विरुद्ध बहु सावधानीहरू (उदाहरण: ifor, प्यारामिटरका लागि सीमित मानहरू);
• URL हरू जाँच्नको लागि प्राथमिकता सेट गर्ने क्षमता (तिनीहरू स्क्यानिङ क्षेत्रमा नभए पनि);
• स्क्यानिङ र आक्रमणहरूबाट केही URL लाई बहिष्कार गर्ने क्षमता (उदाहरणका लागि: URL लगआउट);
• कुकीहरू आयात गर्नुहोस् (तिनीहरूलाई wapiti-getcookie उपकरण प्रयोग गरेर प्राप्त गर्नुहोस्);
• SSL प्रमाणपत्र प्रमाणिकरण सक्रिय/निष्क्रिय गर्ने क्षमता;
• JavaScript बाट URL हरू निकाल्ने क्षमता (एक धेरै सरल JS अनुवादक);
• HTML5 संग अन्तरक्रिया;
• क्रलर व्यवहार र प्रतिबन्धहरू प्रबन्ध गर्नका लागि धेरै विकल्पहरू;
• स्क्यानिङ प्रक्रियाको लागि अधिकतम समय सेट गर्दै;
• केहि अनुकूलन HTTP हेडरहरू थप्दै वा अनुकूलन प्रयोगकर्ता-एजेन्ट सेटअप गर्दै।

अतिरिक्त सुविधाहरू:

• विभिन्न ढाँचाहरूमा जोखिम रिपोर्टहरू सिर्जना गर्दै (HTML, XML, JSON, TXT);
• स्क्यान वा आक्रमण पज गर्दै र पुन: सुरु गर्दै (SQLite3 डाटाबेसहरू प्रयोग गरेर सत्र संयन्त्र);
• कमजोरीहरू हाइलाइट गर्न टर्मिनलमा ब्याकलाइटिङ;
• लगिङ को विभिन्न स्तर;
• आक्रमण मोड्युलहरू सक्रिय / निष्क्रिय गर्न द्रुत र सजिलो तरिका।

सेटिङ

Wapiti को हालको संस्करण 2 तरिकामा स्थापित गर्न सकिन्छ:

• आधिकारिक स्रोतबाट डाउनलोड गर्नुहोस् साइट र स्थापना स्क्रिप्ट चलाउनुहोस्, पहिले पाइथन 3 स्थापना गरी;
• pip3 स्थापना wapiti3 आदेश प्रयोग गरेर।

यस पछि, Wapiti जान तयार हुनेछ।

उपकरण संग काम

Wapiti को काम प्रदर्शन गर्न, हामी एक विशेष रूपमा तयार स्ट्यान्ड sites.vulns.pentestit.ru (आन्तरिक स्रोत) प्रयोग गर्नेछौं, विभिन्न कमजोरीहरू (इन्जेक्शन, XSS, LFI/RFI) र वेब अनुप्रयोगहरूको अन्य कमजोरीहरू समावेश गर्दछ।

जानकारी केवल सूचना उद्देश्यका लागि प्रदान गरिएको छ। कानून नमान्नुहोस्!

स्क्यानर सुरु गर्न आधारभूत आदेश:

# wapiti -u <target> <options>

एकै समयमा, प्रक्षेपण विकल्पहरूको एक विशाल संख्याको साथ धेरै विस्तृत मद्दत छ, उदाहरणका लागि:

--स्कोप - आवेदन क्षेत्र
यदि तपाईंले क्रल URL सँग स्कोप प्यारामिटर निर्दिष्ट गर्नुभयो भने, तपाईंले साइटको क्रलिङ क्षेत्रलाई एकल पृष्ठ र साइटमा फेला पार्न सकिने सबै पृष्ठहरू निर्दिष्ट गरेर समायोजन गर्न सक्नुहुन्छ।

-s и -x - विशिष्ट URL हरू थप्न वा हटाउन विकल्पहरू। यी विकल्पहरू उपयोगी हुन्छन् जब तपाईंले क्रल प्रक्रियाको क्रममा कुनै विशेष URL थप्न वा हटाउन आवश्यक हुन्छ।

--छाड्नुहोस् — यो कुञ्जीसँग निर्दिष्ट प्यारामिटर स्क्यान गरिनेछ, तर आक्रमण गरिने छैन। उपयोगी छ यदि त्यहाँ कुनै खतरनाक प्यारामिटरहरू छन् जुन स्क्यानिङको समयमा उत्तम रूपमा बहिष्कृत गरिन्छ।

--verify-ssl - प्रमाणपत्र प्रमाणीकरण सक्षम वा असक्षम गर्नुहोस्।
Wapiti स्क्यानर मोड्युलर छ। यद्यपि, स्क्यानर चलिरहेको बेला स्वचालित रूपमा जडान भएकाहरू सहित विशिष्ट मोड्युलहरू सुरू गर्न, तपाईंले -m स्विच प्रयोग गर्न आवश्यक छ र अल्पविरामद्वारा छुट्याएर तपाईंलाई आवश्यक पर्नेहरूलाई सूचीबद्ध गर्न आवश्यक छ। यदि कुञ्जी प्रयोग गरिएको छैन भने, सबै मोड्युलहरू पूर्वनिर्धारित रूपमा काम गर्नेछन्। सरल संस्करणमा यो यस्तो देखिन्छ:

# wapiti -u http://sites.vulns.pentestit.ru/ -m sql,xss,xxe

यो प्रयोग उदाहरणको अर्थ हामीले लक्ष्य स्क्यान गर्दा SQL, XSS र XXE मोड्युलहरू मात्र प्रयोग गर्नेछौं। थप रूपमा, तपाइँ इच्छित विधिको आधारमा मोड्युलहरूको सञ्चालन फिल्टर गर्न सक्नुहुन्छ। उदाहरणका लागि -m "xss: get, blindql: post, xxe: post"। यस अवस्थामा, मोड्युल xss GET विधि र मोड्युल प्रयोग गरेर पठाइएका अनुरोधहरूमा लागू हुनेछ blibdsql - अनुरोधहरू पोस्ट गर्न, आदि। खैर, यदि सूचीमा समावेश गरिएको केही मोड्युलहरू स्क्यानिङको क्रममा आवश्यक पर्दैन वा धेरै लामो समय लिन्छ भने, Ctrl+C संयोजन थिचेर तपाइँ अन्तरक्रियात्मक मेनुमा सम्बन्धित वस्तु चयन गरेर हालको मोड्युल प्रयोग गर्न छोड्न सक्नुहुन्छ।

Wapiti कुञ्जी प्रयोग गरेर प्रोक्सी मार्फत अनुरोधहरू पास गर्न समर्थन गर्दछ -p र प्यारामिटर मार्फत लक्षित साइटमा प्रमाणीकरण -a। तपाईं प्रमाणीकरण प्रकार पनि निर्दिष्ट गर्न सक्नुहुन्छ: आधारभूत, डाइजेस्ट, कर्बेरोस и NTLM। अन्तिम दुई थप मोड्युल स्थापना आवश्यक हुन सक्छ। थप रूपमा, तपाइँ कुनै पनि हेडरहरू अनुरोधहरूमा सम्मिलित गर्न सक्नुहुन्छ (मनमानी सहित प्रयोगकर्ता एजेन्ट) र अधिक।

प्रमाणीकरण प्रयोग गर्न तपाईं उपकरण प्रयोग गर्न सक्नुहुन्छ wapiti-getcookie। यसको मद्दतले हामी गठन गर्छौं कुकी, जुन Wapiti ले स्क्यान गर्दा प्रयोग गर्नेछ। गठन कुकी आदेश संग गरियो:

# wapiti-getcookie -u http://sites.vulns.pentestit.ru/login.php -c cookie.json

अन्तरक्रियात्मक रूपमा काम गर्दा, हामी प्रश्नहरूको जवाफ दिन्छौं र लगइन, पासवर्ड, आदि जस्ता आवश्यक जानकारी संकेत गर्छौं।

आउटपुट JSON ढाँचामा फाइल हो। अर्को विकल्प प्यारामिटर मार्फत सबै आवश्यक जानकारी थप्न छ -d:

# wapiti-getcookie - http://sites.vulns.pentestit.ru/login.php -c cookie.json -d "username=admin&password=admin&enter=submit"

परिणाम समान हुनेछ:

स्क्यानरको मुख्य कार्यक्षमतालाई विचार गर्दा, हाम्रो मामलामा वेब अनुप्रयोग परीक्षणको लागि अन्तिम अनुरोध थियो:

# wapiti --level 1 -u http://sites.vulns.pentestit.ru/ -f html -o /tmp/vulns.html -m all --color -с cookie.json --scope folder --flush-session -A 'Pentestit Scans' -p http://proxy.office.pentestit.ru:3128

जहाँ अन्य मापदण्डहरू बीच:

-f и -o - रिपोर्ट बचत गर्न ढाँचा र मार्ग;

-m - सबै मोड्युलहरू जडान गर्न सिफारिस गरिएको छैन, किनभने परीक्षण समय र रिपोर्ट साइजलाई असर गर्नेछ;

--रङ - Wapiti आफै अनुसार तिनीहरूको आलोचनात्मकतामा निर्भर भेट्टाइएका कमजोरीहरूलाई हाइलाइट गर्नुहोस्;

-c - संग फाइल प्रयोग गर्दै कुकी, प्रयोग गरेर उत्पन्न wapiti-getcookie;

--स्कोप - आक्रमणको लागि लक्ष्य छनोट गर्दै। विकल्प चयन गर्दै फोल्डर प्रत्येक URL क्रल गरिनेछ र आक्रमण गरिनेछ, आधार एक बाट सुरु। आधार URL मा फर्वार्ड स्ल्याश हुनुपर्छ (फाइल नाम छैन);

--फ्लुस-सत्र - बारम्बार स्क्यानिङको लागि अनुमति दिन्छ, जसमा अघिल्लो नतिजाहरूलाई ध्यानमा राखिने छैन;

-A - आफ्नै प्रयोगकर्ता एजेन्ट;

-p - प्रोक्सी सर्भर ठेगाना, यदि आवश्यक हो।

रिपोर्टको बारेमा थोरै

स्क्यानिङ नतिजा HTML पृष्ठ ढाँचामा सबै फेला परेका कमजोरीहरूमा विस्तृत रिपोर्टको रूपमा, स्पष्ट र पढ्न सजिलो फारममा प्रस्तुत गरिएको छ। रिपोर्टले कोटिहरू र भेट्टाइएका कमजोरीहरूको संख्या, तिनीहरूको विवरण, अनुरोधहरू, आदेशहरूको लागि संकेत गर्दछ। दोब्र्याइएको र तिनीहरूलाई कसरी बन्द गर्ने बारे सुझावहरू। नेभिगेसनको सजिलोको लागि, कोटी नामहरूमा एउटा लिङ्क थपिनेछ, जसमा क्लिक गरेर तपाईं यसमा जान सक्नुहुन्छ:

रिपोर्टको एक महत्त्वपूर्ण हानि भनेको वेब अनुप्रयोग नक्साको अनुपस्थिति हो, जसको बिना सबै ठेगानाहरू र प्यारामिटरहरू विश्लेषण गरिएको छ कि छैन स्पष्ट हुनेछैन। त्यहाँ गलत सकारात्मक सम्भावना पनि छ। हाम्रो अवस्थामा, रिपोर्टले "ब्याकअप फाइलहरू" र "सम्भावित रूपमा खतरनाक फाइलहरू" समावेश गर्दछ। तिनीहरूको संख्या वास्तविकतासँग मेल खाँदैन, किनकि सर्भरमा त्यस्ता फाइलहरू थिएनन्:

सायद गलत तरिकाले काम गर्ने मोड्युल समय संगै तय हुनेछ। रिपोर्टको अर्को कमजोरी फेला परेका कमजोरीहरू (तिनीहरूको आलोचनात्मकतामा निर्भर गर्दै) को रंगको अभाव हो, वा कम्तिमा तिनीहरूलाई कोटिहरूमा विभाजन गर्नु हो। हामीले अप्रत्यक्ष रूपमा भेट्टाइएको भेद्यताको आलोचनात्मकता बुझ्न सक्ने एक मात्र तरिका प्यारामिटर प्रयोग गर्नु हो --रङ स्क्यानिङको क्रममा, र त्यसपछि भेट्टाइएका कमजोरीहरू विभिन्न रंगहरूमा रंगिनेछन्:

तर प्रतिवेदन आफैंले त्यस्तो रंग प्रदान गर्दैन।

कमजोरीहरु

SQLi

स्क्यानरले आंशिक रूपमा SQLi खोजको साथ सामना गर्यो। प्रमाणीकरण आवश्यक नभएका पृष्ठहरूमा SQL कमजोरीहरूको खोजी गर्दा, कुनै समस्या उत्पन्न हुँदैन:

प्रमाणीकरण पछि मात्र पहुँचयोग्य पृष्ठहरूमा कमजोरी फेला पार्न सम्भव थिएन, वैध प्रयोग गरेर पनि कुकी, सम्भवतः सफल प्रमाणीकरण पछि, तिनीहरूको सत्र "लग आउट" हुनेछ र कुकी अवैध हुनेछ। यदि deauthorization प्रकार्यलाई यो प्रक्रिया प्रशोधन गर्न जिम्मेवार छुट्टै स्क्रिप्टको रूपमा कार्यान्वयन गरिएको थियो भने, त्यसपछि यसलाई -x प्यारामिटर मार्फत पूर्ण रूपमा बहिष्कार गर्न सम्भव हुनेछ, र यसैले यसलाई ट्रिगर हुनबाट रोक्न सकिन्छ। अन्यथा, यसको प्रशोधन बहिष्कार गर्न सम्भव छैन। यो एक विशिष्ट मोड्युलको साथ समस्या होइन, तर सम्पूर्ण रूपमा उपकरणको साथ हो, तर यो सूक्ष्मताको कारणले, यो बन्द स्रोत क्षेत्रमा धेरै इंजेक्शनहरू पत्ता लगाउन सम्भव थिएन।

XSS

स्क्यानरले दिइएको कार्यको पूर्ण रूपमा सामना गर्‍यो र तयार गरिएका सबै कमजोरीहरू फेला पार्यो:

LFI/RFI

स्क्यानरले सबै अन्तर्निहित कमजोरीहरू फेला पार्यो:

सामान्यतया, गलत सकारात्मक र हराइरहेको कमजोरीहरूको बावजुद, Wapiti, एक नि: शुल्क उपकरणको रूपमा, राम्रो प्रदर्शन परिणामहरू देखाउँछ। कुनै पनि अवस्थामा, यो स्क्यानर एकदम शक्तिशाली, लचिलो र बहु-कार्यात्मक छ भनेर पहिचान गर्न लायक छ, र सबैभन्दा महत्त्वपूर्ण कुरा, यो नि: शुल्क छ, त्यसैले यसलाई प्रशासक र विकासकर्ताहरूलाई वेबको सुरक्षा स्थितिको बारेमा आधारभूत जानकारी प्राप्त गर्न मद्दत गर्न प्रयोग गर्ने अधिकार छ। आवेदन।

स्वस्थ र सुरक्षित रहनुहोस्!

स्रोत: www.habr.com