{"id":88992,"date":"2020-07-17T07:42:02","date_gmt":"2020-07-17T05:42:02","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/wapiti-proverka-sajta-na-uyazvimosti-svoimi-silami"},"modified":"2020-07-17T07:42:02","modified_gmt":"2020-07-17T05:42:02","slug":"wapiti-proverka-sajta-na-uyazvimosti-svoimi-silami","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/administrirovanie\/wapiti-proverka-sajta-na-uyazvimosti-svoimi-silami","title":{"rendered":"Wapiti \u2014 verifica\u00e7\u00e3o de vulnerabilidades em sites por conta pr\u00f3pria","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"<p><img decoding=\"async\" alt=\"Wapiti \u2014 verifica\u00e7\u00e3o de vulnerabilidades em sites por conta pr\u00f3pria\" src=\"\/wp-content\/uploads\/2020\/07\/c52b58a326ba424d73a93614818c82f5.png\" style=\"display:block;margin: 0 auto;\" \/><br \/>\nNa parte anterior <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/news\/t\/507776\/\">artigo<\/a><\/noindex> falamos sobre <strong>Nemesida WAF Free<\/strong> \u2014 uma ferramenta gratuita para proteger sites e APIs contra ataques de hackers, e nesta decidimos fazer uma an\u00e1lise de um popular scanner de vulnerabilidades <noindex><a rel=\"nofollow\" href=\"https:\/\/wapiti.sourceforge.io\/\">Wapiti<\/a><\/noindex>.<\/p>\n<p><\/p>\n<p>A varredura de sites para vulnerabilidades \u00e9 uma medida necess\u00e1ria que, junto com a an\u00e1lise do c\u00f3digo-fonte, permite avaliar o n\u00edvel de prote\u00e7\u00e3o contra amea\u00e7as de comprometimento. A varredura de um recurso web pode ser realizada com a ajuda de ferramentas especializadas.<\/p>\n<p><\/p>\n<p>Nikto, W3af (escrito em Python 2.7, cujo suporte foi encerrado) ou Arachni (n\u00e3o \u00e9 mais suportado desde fevereiro) \u2014 s\u00e3o as solu\u00e7\u00f5es mais populares oferecidas no segmento gratuito. Claro, existem outras, como o Wapiti, sobre o qual decidimos nos concentrar.<\/p>\n<p><noindex><a rel=\"nofollow\" name=\"habracut\"><\/a><\/noindex><\/p>\n<h3 id=\"wapiti-rabotaet-so-sleduyuschimi-tipami-uyazvimostey\">Wapiti trabalha com os seguintes tipos de vulnerabilidades:<\/h3>\n<p><\/p>\n<ul>\n<li>exposi\u00e7\u00e3o de arquivo (locais e remotas, fopen, readfile);<\/li>\n<li>inje\u00e7\u00f5es (inje\u00e7\u00f5es PHP \/ JSP \/ ASP \/ SQL e inje\u00e7\u00f5es XPath);<\/li>\n<li>XSS (cross-site scripting) (refletido e persistente);<\/li>\n<li>detec\u00e7\u00e3o e execu\u00e7\u00e3o de comandos (eval(), system(), passtru());<\/li>\n<li>inje\u00e7\u00f5es CRLF (divis\u00e3o de respostas HTTP, fixa\u00e7\u00e3o de sess\u00e3o);<\/li>\n<li>inser\u00e7\u00e3o XXE (entidade externa XML);<\/li>\n<li>SSRF (falsifica\u00e7\u00e3o de solicita\u00e7\u00e3o do lado do servidor);<\/li>\n<li>uso de arquivos potencialmente perigosos conhecidos (gra\u00e7as ao banco de dados Nikto);<\/li>\n<li>configura\u00e7\u00f5es fracas do .htaccess que podem ser contornadas;<\/li>\n<li>presen\u00e7a de arquivos de backup que revelam informa\u00e7\u00f5es confidenciais (exposi\u00e7\u00e3o de c\u00f3digo-fonte);<\/li>\n<li>Shellshock;<\/li>\n<li>redirecionamentos abertos;<\/li>\n<li>m\u00e9todos HTTP n\u00e3o padr\u00e3o que podem ser permitidos (PUT).<\/li>\n<\/ul>\n<p><\/p>\n<h4 id=\"vozmozhnosti\">Caracter\u00edsticas:<\/h4>\n<p><\/p>\n<ul>\n<li>suporte para proxy HTTP, HTTPS e SOCKS5;<\/li>\n<li>autentica\u00e7\u00e3o por meio de v\u00e1rios m\u00e9todos: Basic, Digest, Kerberos ou NTLM;<\/li>\n<li>possibilidade de restringir o escopo da varredura (dom\u00ednio, pasta, p\u00e1gina, URL);<\/li>\n<li>remo\u00e7\u00e3o autom\u00e1tica de um dos par\u00e2metros na URL;<\/li>\n<li>m\u00faltiplas precau\u00e7\u00f5es contra ciclos de varredura infinitos (exemplo: ifor, restri\u00e7\u00e3o de valores para o par\u00e2metro);<\/li>\n<li>possibilidade de definir prioridade para a explora\u00e7\u00e3o de URLs (mesmo que n\u00e3o estejam na \u00e1rea de varredura);<\/li>\n<li>possibilidade de excluir algumas URLs da varredura e ataques (por exemplo: URL de logout);<\/li>\n<li>importa\u00e7\u00e3o de arquivos de cookie (obtendo-os com a ferramenta wapiti-getcookie);<\/li>\n<li>possibilidade de ativar\/desativar a verifica\u00e7\u00e3o de certificados SSL;<\/li>\n<li>possibilidade de extrair URLs de JavaScript (um int\u00e9rprete JS muito simples);<\/li>\n<li>intera\u00e7\u00e3o com HTML5;<\/li>\n<li>v\u00e1rias op\u00e7\u00f5es para gerenciar o comportamento e as restri\u00e7\u00f5es do crawler;<\/li>\n<li>defini\u00e7\u00e3o de um tempo m\u00e1ximo para o processo de varredura;<\/li>\n<li>adi\u00e7\u00e3o de alguns cabe\u00e7alhos HTTP personaliz\u00e1veis ou configura\u00e7\u00e3o de um User-Agent personalizado.<\/li>\n<\/ul>\n<p><\/p>\n<h4 id=\"dopolnitelnye-vozmozhnosti\">Recursos adicionais:<\/h4>\n<p><\/p>\n<ul>\n<li>gera\u00e7\u00e3o de relat\u00f3rios de vulnerabilidade em v\u00e1rios formatos (HTML, XML, JSON, TXT);<\/li>\n<li>suspens\u00e3o e retomada da varredura ou ataque (mecanismo de sess\u00e3o usando bancos de dados SQLite3);<\/li>\n<li>destaque no terminal para real\u00e7ar vulnerabilidades;<\/li>\n<li>diferentes n\u00edveis de registro;<\/li>\n<li>uma maneira r\u00e1pida e f\u00e1cil de ativar\/desativar m\u00f3dulos de ataque.<\/li>\n<\/ul>\n<p><\/p>\n<h3 id=\"ustanovka\">Instala\u00e7\u00e3o<\/h3>\n<p><\/p>\n<p>A vers\u00e3o mais recente do Wapiti pode ser instalada de 2 maneiras:<\/p>\n<p><\/p>\n<ul>\n<li>baixando o c\u00f3digo-fonte do site oficial <noindex><a rel=\"nofollow\" href=\"https:\/\/wapiti.sourceforge.io\/\">do site<\/a><\/noindex> e executando o script de instala\u00e7\u00e3o, tendo previamente instalado o Python3;<\/li>\n<li>usando o comando pip3 install wapiti3.<\/li>\n<\/ul>\n<p><\/p>\n<p>Ap\u00f3s isso, o Wapiti estar\u00e1 pronto para uso.<\/p>\n<p><\/p>\n<h3 id=\"rabota-s-instrumentom\">Trabalhando com a ferramenta<\/h3>\n<p><\/p>\n<p>Para demonstrar o funcionamento do Wapiti, usaremos um ambiente especialmente preparado sites.vulns.pentestit.ru (recurso interno), que cont\u00e9m v\u00e1rias vulnerabilidades (Injection, XSS, LFI\/RFI) e outras falhas de aplica\u00e7\u00f5es web. <\/p>\n<p><\/p>\n<p><strong>As informa\u00e7\u00f5es s\u00e3o fornecidas apenas para fins de conhecimento. N\u00e3o viole a legisla\u00e7\u00e3o!<\/strong><\/p>\n<p><\/p>\n<p>O comando b\u00e1sico para iniciar o scanner:<\/p>\n<p><\/p>\n<pre><code class=\"bash\"># wapiti -u &lt;target&gt; &lt;options&gt;<\/code><\/pre>\n<p><\/p>\n<p>Neste caso, h\u00e1 uma ajuda bastante detalhada com uma enorme quantidade de op\u00e7\u00f5es de execu\u00e7\u00e3o, por exemplo:<\/p>\n<p><\/p>\n<p><strong>\u2014escopo<\/strong> \u2014 \u00e1rea de aplica\u00e7\u00e3o<br \/>\nSe, juntamente com a URL a ser escaneada, o par\u00e2metro scope for especificado, \u00e9 poss\u00edvel regular a \u00e1rea de varredura do site, indicando tanto uma p\u00e1gina espec\u00edfica quanto todas as p\u00e1ginas que puderem ser encontradas no site.<\/p>\n<p><\/p>\n<p><strong>-s<\/strong> e <strong>-x<\/strong> \u2014 par\u00e2metros para adicionar ou remover URLs espec\u00edficas. Esses par\u00e2metros s\u00e3o \u00fateis quando \u00e9 necess\u00e1rio adicionar ou remover um URL espec\u00edfico no processo de varredura.<\/p>\n<p><\/p>\n<p><strong>\u2014pular<\/strong> \u2014 o par\u00e2metro especificado com esta chave ser\u00e1 escaneado, mas n\u00e3o ser\u00e1 atacado. \u00datil se houver alguns par\u00e2metros perigosos que \u00e9 melhor excluir durante a varredura.<\/p>\n<p><\/p>\n<p><strong>\u2014verificar-ssl<\/strong> \u2014 habilitar ou desabilitar a verifica\u00e7\u00e3o do certificado.<br \/>\nO scanner Wapiti \u00e9 modular. No entanto, para executar m\u00f3dulos espec\u00edficos, entre aqueles que s\u00e3o conectados automaticamente durante a opera\u00e7\u00e3o do scanner, \u00e9 necess\u00e1rio usar a chave -m e listar os desejados separados por v\u00edrgulas. Se a chave n\u00e3o for utilizada, todos os m\u00f3dulos funcionar\u00e3o por padr\u00e3o. No formato mais simples, isso se parecer\u00e1 com o seguinte:<\/p>\n<p><\/p>\n<pre><code class=\"bash\"># wapiti -u http:\/\/sites.vulns.pentestit.ru\/ -m sql,xss,xxe<\/code><\/pre>\n<p><\/p>\n<p>Este exemplo de uso significa que utilizaremos apenas os m\u00f3dulos SQL, XSS e XXE ao escanear o alvo. Al\u00e9m disso, \u00e9 poss\u00edvel filtrar o funcionamento dos m\u00f3dulos de acordo com o m\u00e9todo desejado. Por exemplo <strong>-m \u201cxss: get, blindsql: post, xxe: post\u201d<\/strong>. Nesse caso, o m\u00f3dulo <strong>xss<\/strong> ser\u00e1 aplicado \u00e0s requisi\u00e7\u00f5es enviadas pelo m\u00e9todo GET, enquanto o m\u00f3dulo <strong>blibdsql<\/strong> ser\u00e1 aplicado \u00e0s requisi\u00e7\u00f5es POST, etc. A prop\u00f3sito, se algum m\u00f3dulo que foi inclu\u00eddo na lista n\u00e3o for necess\u00e1rio durante a varredura ou demorar muito, pressionando Ctrl+C \u00e9 poss\u00edvel pular o uso do m\u00f3dulo atual, selecionando a op\u00e7\u00e3o correspondente no menu interativo.<\/p>\n<p><\/p>\n<p>Wapiti suporta o envio de requisi\u00e7\u00f5es atrav\u00e9s de um proxy usando a chave <strong>-p<\/strong> e a autentica\u00e7\u00e3o no site alvo atrav\u00e9s do par\u00e2metro <strong>-a<\/strong>. Tamb\u00e9m \u00e9 poss\u00edvel especificar o tipo de autentica\u00e7\u00e3o: <strong>Basi\u0441<\/strong>, <strong>Digest<\/strong>, <strong>Kerberos<\/strong> e <strong>NTLM<\/strong>. Para os dois \u00faltimos, pode ser necess\u00e1rio instalar m\u00f3dulos adicionais. Al\u00e9m disso, podemos inserir quaisquer cabe\u00e7alhos nas requisi\u00e7\u00f5es (incluindo um <strong>User-Agent<\/strong>) e muito mais.<\/p>\n<p><\/p>\n<p>Para usar a autentica\u00e7\u00e3o, podemos usar a ferramenta <strong>wapiti-getcookie<\/strong>. Com ela, formamos <strong>cookie<\/strong>, que o Wapiti usar\u00e1 durante a varredura. A forma\u00e7\u00e3o <strong>cookie<\/strong> \u00e9 realizada com o comando:<\/p>\n<p><\/p>\n<pre><code class=\"bash\"># wapiti-getcookie -u http:\/\/sites.vulns.pentestit.ru\/login.php -c cookie.json<\/code><\/pre>\n<p><\/p>\n<p>Durante o funcionamento no modo interativo, respondemos \u00e0s perguntas e fornecemos as informa\u00e7\u00f5es necess\u00e1rias, como: login, senha e outros:<\/p>\n<p><\/p>\n<p><img decoding=\"async\" alt=\"Wapiti \u2014 verifica\u00e7\u00e3o de vulnerabilidades em sites por conta pr\u00f3pria\" src=\"\/wp-content\/uploads\/2020\/07\/1f858db74cd11b0837d0aeca890af816.png\" style=\"display:block;margin: 0 auto;\" \/><\/p>\n<p><\/p>\n<p>No final, recebemos um arquivo no formato JSON. Outra op\u00e7\u00e3o \u00e9 adicionar todas as informa\u00e7\u00f5es necess\u00e1rias atrav\u00e9s do par\u00e2metro <strong>-d<\/strong>:<\/p>\n<p><\/p>\n<pre><code class=\"bash\"># wapiti-getcookie - http:\/\/sites.vulns.pentestit.ru\/login.php -c cookie.json -d &quot;username=admin&amp;password=admin&amp;enter=submit&quot;<\/code><\/pre>\n<p><\/p>\n<p>O resultado ser\u00e1 semelhante:<\/p>\n<p><\/p>\n<p><img decoding=\"async\" alt=\"Wapiti \u2014 verifica\u00e7\u00e3o de vulnerabilidades em sites por conta pr\u00f3pria\" src=\"\/wp-content\/uploads\/2020\/07\/87e0923c3027bdda5f1ccf0d4e08a10f.png\" style=\"display:block;margin: 0 auto;\" \/><\/p>\n<p><\/p>\n<p>Ao considerar a funcionalidade principal do scanner, a requisi\u00e7\u00e3o final para realizar os testes no aplicativo web, neste caso, foi:<\/p>\n<p><\/p>\n<pre><code class=\"bash\"># wapiti --level 1 -u http:\/\/sites.vulns.pentestit.ru\/ -f html -o \/tmp\/vulns.html -m all --color -\u0441 cookie.json --scope folder --flush-session -A 'Pentestit Scans' -p http:\/\/proxy.office.pentestit.ru:3128<\/code><\/pre>\n<p><\/p>\n<p>onde, entre outros par\u00e2metros:<\/p>\n<p><\/p>\n<p><strong>--follow<\/strong> e <strong>-o<\/strong> \u2014 formato e caminho para salvar o relat\u00f3rio;<\/p>\n<p><\/p>\n<p><strong>-m<\/strong> \u2014 ativa\u00e7\u00e3o de todos os m\u00f3dulos \u2014 n\u00e3o recomendado, pois afetar\u00e1 o tempo de teste e o tamanho do relat\u00f3rio;<\/p>\n<p><\/p>\n<p><strong>\u2014cor<\/strong> \u2014 destacar as vulnerabilidades encontradas de acordo com sua criticidade, segundo a vers\u00e3o do pr\u00f3prio Wapiti;<\/p>\n<p><\/p>\n<p><strong>-c<\/strong> \u2014 utiliza\u00e7\u00e3o de um arquivo com <strong>cookie<\/strong>, gerado com <strong>wapiti-getcookie<\/strong>; <\/p>\n<p><\/p>\n<p><strong>\u2014escopo<\/strong> \u2014 escolha do alvo para ataque. Escolhendo a op\u00e7\u00e3o <strong>folder<\/strong> cada URL come\u00e7ando com a base ser\u00e1 escaneado e atacado. A URL base deve terminar com uma barra (sem nome de arquivo);<\/p>\n<p><\/p>\n<p><strong>\u2014limpar-sess\u00e3o<\/strong> \u2014 permite realizar um reescaneamento, que n\u00e3o levar\u00e1 em conta os resultados anteriores;<\/p>\n<p><\/p>\n<p><strong>-A<\/strong> \u2014 pr\u00f3prio <strong>User-Agent<\/strong>;<\/p>\n<p><\/p>\n<p><strong>-p<\/strong> \u2014 o endere\u00e7o do servidor proxy, se necess\u00e1rio.<\/p>\n<p><\/p>\n<h3 id=\"nemnogo-ob-otchete\">Um pouco sobre o relat\u00f3rio<\/h3>\n<p><\/p>\n<p>O resultado da varredura \u00e9 apresentado na forma de um relat\u00f3rio detalhado sobre todas as vulnerabilidades encontradas, em formato de p\u00e1gina HTML, de maneira clara e f\u00e1cil de entender. O relat\u00f3rio indicar\u00e1 as categorias e o n\u00famero de vulnerabilidades encontradas, suas descri\u00e7\u00f5es, solicita\u00e7\u00f5es, comandos para <strong>curl<\/strong> e dicas sobre como corrigi-las. Para facilitar a navega\u00e7\u00e3o, os t\u00edtulos das categorias ter\u00e3o links adicionados, que podem ser clicados para acess\u00e1-las:<\/p>\n<p><\/p>\n<p><img decoding=\"async\" alt=\"Wapiti \u2014 verifica\u00e7\u00e3o de vulnerabilidades em sites por conta pr\u00f3pria\" src=\"\/wp-content\/uploads\/2020\/07\/39d35304b6f2ea20fd9096e167daabd5.png\" style=\"display:block;margin: 0 auto;\" \/><\/p>\n<p><\/p>\n<p>Uma desvantagem significativa do relat\u00f3rio \u00e9 a aus\u00eancia de um mapa do aplicativo web, sem o qual n\u00e3o ser\u00e1 claro se todos os endere\u00e7os e par\u00e2metros foram analisados. Tamb\u00e9m existe a probabilidade de falsos positivos. No nosso caso, o relat\u00f3rio menciona \"arquivos de backup\" e \"arquivos potencialmente perigosos\". A quantidade n\u00e3o corresponde \u00e0 realidade, pois tais arquivos n\u00e3o estavam presentes no servidor:<\/p>\n<p><\/p>\n<p><img decoding=\"async\" alt=\"Wapiti \u2014 verifica\u00e7\u00e3o de vulnerabilidades em sites por conta pr\u00f3pria\" src=\"\/wp-content\/uploads\/2020\/07\/09c6f8945e6fb6dc6de1388f71fc96bb.png\" style=\"display:block;margin: 0 auto;\" \/><\/p>\n<p><\/p>\n<p>\u00c9 poss\u00edvel que m\u00f3dulos que n\u00e3o est\u00e3o funcionando corretamente sejam corrigidos com o tempo. Outra desvantagem do relat\u00f3rio \u00e9 a falta de colora\u00e7\u00e3o das vulnerabilidades encontradas (dependendo da sua criticidade), ou pelo menos a sua separa\u00e7\u00e3o em categorias. A \u00fanica forma de entendermos indiretamente a criticidade de uma vulnerabilidade encontrada \u00e9 aplicando o par\u00e2metro <strong>\u2014cor<\/strong> durante a varredura, e ent\u00e3o as vulnerabilidades encontradas ser\u00e3o coloridas de diferentes maneiras:<\/p>\n<p><\/p>\n<p><img decoding=\"async\" alt=\"Wapiti \u2014 verifica\u00e7\u00e3o de vulnerabilidades em sites por conta pr\u00f3pria\" src=\"\/wp-content\/uploads\/2020\/07\/46f4c34f9215117eeddd96db633e9e3e.png\" style=\"display:block;margin: 0 auto;\" \/><\/p>\n<p><\/p>\n<p>Mas no pr\u00f3prio relat\u00f3rio essa colora\u00e7\u00e3o n\u00e3o est\u00e1 prevista.<\/p>\n<p><\/p>\n<h3 id=\"uyazvimosti\">Vulnerabilidades<\/h3>\n<p><\/p>\n<h4 id=\"sqli\">SQLi<\/h4>\n<p><\/p>\n<p>O scanner conseguiu parcialmente encontrar SQLi. Durante a busca por vulnerabilidades SQL nas p\u00e1ginas onde a autentica\u00e7\u00e3o n\u00e3o \u00e9 requerida, n\u00e3o surgiram problemas:<\/p>\n<p><\/p>\n<p><img decoding=\"async\" alt=\"Wapiti \u2014 verifica\u00e7\u00e3o de vulnerabilidades em sites por conta pr\u00f3pria\" src=\"\/wp-content\/uploads\/2020\/07\/f9ffef805a115c1a7d47c068a38794bf.png\" style=\"display:block;margin: 0 auto;\" \/><\/p>\n<p><\/p>\n<p>N\u00e3o foi poss\u00edvel encontrar vulnerabilidades nas p\u00e1ginas acess\u00edveis apenas ap\u00f3s autentica\u00e7\u00e3o, mesmo usando credenciais v\u00e1lidas <strong>cookie<\/strong>, pois \u00e9 prov\u00e1vel que, ap\u00f3s uma autentica\u00e7\u00e3o bem-sucedida, ser\u00e1 realizado \"sair da sess\u00e3o\" e <strong>cookie<\/strong> se tornar\u00e3o inv\u00e1lidas. Se a fun\u00e7\u00e3o de logout fosse realizada como um script separado, respons\u00e1vel pelo processamento desse procedimento, poderia ser completamente exclu\u00edda usando o par\u00e2metro -x, evitando assim sua execu\u00e7\u00e3o. Caso contr\u00e1rio, n\u00e3o ser\u00e1 poss\u00edvel evitar seu processamento. Este \u00e9 um problema n\u00e3o de um m\u00f3dulo espec\u00edfico, mas da ferramenta como um todo, mas devido a essa nuance, n\u00e3o foi poss\u00edvel detectar v\u00e1rias inje\u00e7\u00f5es na \u00e1rea restrita do recurso.<\/p>\n<p><\/p>\n<h4 id=\"xss\">XSS<\/h4>\n<p><\/p>\n<p>O scanner lidou bem com a tarefa e encontrou todas as vulnerabilidades preparadas:<\/p>\n<p><\/p>\n<p><img decoding=\"async\" alt=\"Wapiti \u2014 verifica\u00e7\u00e3o de vulnerabilidades em sites por conta pr\u00f3pria\" src=\"\/wp-content\/uploads\/2020\/07\/ae43bf1f7d78224a5df5f2ef733f8203.png\" style=\"display:block;margin: 0 auto;\" \/><\/p>\n<p><\/p>\n<h4 id=\"lfirfi\">LFI\/RFI<\/h4>\n<p><\/p>\n<p>O scanner encontrou todas as vulnerabilidades embutidas:<\/p>\n<p><\/p>\n<p><img decoding=\"async\" alt=\"Wapiti \u2014 verifica\u00e7\u00e3o de vulnerabilidades em sites por conta pr\u00f3pria\" src=\"\/wp-content\/uploads\/2020\/07\/9056c7911237b607a6b12cc2e5a488d3.png\" style=\"display:block;margin: 0 auto;\" \/><\/p>\n<p><\/p>\n<p>No geral, apesar de falsos positivos e falhas em detectar vulnerabilidades, o Wapiti, como uma ferramenta gratuita, apresenta resultados bastante razo\u00e1veis. De qualquer forma, \u00e9 preciso reconhecer que o scanner \u00e9 bastante poderoso, flex\u00edvel e multifuncional, e o principal \u2014 \u00e9 gratuito, portanto, merece ser utilizado, ajudando administradores e desenvolvedores a obter informa\u00e7\u00f5es b\u00e1sicas sobre o estado de seguran\u00e7a de aplica\u00e7\u00f5es web.<\/p>\n<p><\/p>\n<p>Mantenha-se saud\u00e1vel e protegido!<\/p>\n<p>Fonte: <a content=\"nofollow\" rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/post\/510998\/\">habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"<p>\u0412 \u043f\u0440\u043e\u0448\u043b\u043e\u0439 \u0441\u0442\u0430\u0442\u044c\u0435 \u043c\u044b \u0440\u0430\u0441\u0441\u043a\u0430\u0437\u0430\u043b\u0438 \u043e Nemesida WAF Free \u2014 \u0431\u0435\u0441\u043f\u043b\u0430\u0442\u043d\u043e\u043c \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u0435 \u0434\u043b\u044f \u0437\u0430\u0449\u0438\u0442\u044b \u0441\u0430\u0439\u0442\u043e\u0432 \u0438 API \u043e\u0442 \u0445\u0430\u043a\u0435\u0440\u0441\u043a\u0438\u0445 \u0430\u0442\u0430\u043a, \u0430 \u0432 \u044d\u0442\u043e\u0439 \u0440\u0435\u0448\u0438\u043b\u0438 \u0441\u0434\u0435\u043b\u0430\u0442\u044c \u043e\u0431\u0437\u043e\u0440 \u043f\u043e\u043f\u0443\u043b\u044f\u0440\u043d\u043e\u0433\u043e \u0441\u043a\u0430\u043d\u0435\u0440\u0430 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439 Wapiti. \u0421\u043a\u0430\u043d\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u0441\u0430\u0439\u0442\u0430 \u043d\u0430 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u2014 \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u0430\u044f \u043c\u0435\u0440\u0430, \u043a\u043e\u0442\u043e\u0440\u0430\u044f, \u0432\u043a\u0443\u043f\u0435 \u0441 \u0430\u043d\u0430\u043b\u0438\u0437\u043e\u043c \u0438\u0441\u0445\u043e\u0434\u043d\u043e\u0433\u043e \u043a\u043e\u0434\u0430, \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u043e\u0446\u0435\u043d\u0438\u0442\u044c \u0443\u0440\u043e\u0432\u0435\u043d\u044c \u0435\u0433\u043e \u0437\u0430\u0449\u0438\u0449\u0435\u043d\u043d\u043e\u0441\u0442\u0438 \u043e\u0442 \u0443\u0433\u0440\u043e\u0437 \u043a\u043e\u043c\u043f\u0440\u043e\u043c\u0435\u0442\u0430\u0446\u0438\u0438. \u0412\u044b\u043f\u043e\u043b\u043d\u0438\u0442\u044c \u0441\u043a\u0430\u043d\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u0432\u0435\u0431-\u0440\u0435\u0441\u0443\u0440\u0441\u0430 \u043c\u043e\u0436\u043d\u043e [&hellip;]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":88993,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-88992","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t<!-- All in One SEO 5.0.3 - aioseo.com -->\n\t<meta name=\"description\" content=\"\u0412 \u043f\u0440\u043e\u0448\u043b\u043e\u0439\" \/>\n\t<meta name=\"robots\" content=\"max-image-preview:large\" \/>\n\t<meta name=\"author\" content=\"Yuri Gagarin\"\/>\n\t<link rel=\"canonical\" href=\"https:\/\/prohoster.info\/pt\/blog\/administrirovanie\/wapiti-proverka-sajta-na-uyazvimosti-svoimi-silami\" \/>\n\t\t<meta name=\"generator\" content=\"All in One SEO (AIOSEO) 5.0.3\" \/>\n\t\t<meta property=\"og:locale\" content=\"pt_PT\" \/>\n\t\t<meta property=\"og:site_name\" content=\"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b\" \/>\n\t\t<meta property=\"og:type\" content=\"article\" \/>\n\t\t<meta property=\"og:title\" content=\"\ud83e\udd47Wapiti \u2014 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0430 \u0441\u0430\u0439\u0442\u0430 \u043d\u0430 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u0441\u0432\u043e\u0438\u043c\u0438 \u0441\u0438\u043b\u0430\u043c\u0438 | ProHoster\" \/>\n\t\t<meta property=\"og:description\" content=\"\u0412 \u043f\u0440\u043e\u0448\u043b\u043e\u0439\" \/>\n\t\t<meta property=\"og:url\" content=\"https:\/\/prohoster.info\/pt\/blog\/administrirovanie\/wapiti-proverka-sajta-na-uyazvimosti-svoimi-silami\" \/>\n\t\t<meta property=\"og:image\" content=\"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg\" \/>\n\t\t<meta property=\"og:image:secure_url\" content=\"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg\" \/>\n\t\t<meta property=\"og:image:width\" content=\"350\" \/>\n\t\t<meta property=\"og:image:height\" content=\"350\" \/>\n\t\t<meta property=\"article:published_time\" content=\"2020-07-17T05:42:02+00:00\" \/>\n\t\t<meta property=\"article:modified_time\" content=\"2020-07-17T05:42:02+00:00\" \/>\n\t\t<meta property=\"article:publisher\" content=\"https:\/\/www.facebook.com\/prohoster\" \/>\n\t\t<meta property=\"article:author\" content=\"https:\/\/www.facebook.com\/prohoster\" \/>\n\t\t<!-- All in One SEO -->\n\n","aioseo_head_json":{"title":"\ud83e\udd47Wapiti \u2014 verifica\u00e7\u00e3o de site para vulnerabilidades por conta pr\u00f3pria | ProHoster","description":"Na parte anterior","canonical_url":"https:\/\/prohoster.info\/pt\/blog\/administrirovanie\/wapiti-proverka-sajta-na-uyazvimosti-svoimi-silami","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"pt_PT","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47Wapiti \u2014 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0430 \u0441\u0430\u0439\u0442\u0430 \u043d\u0430 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u0441\u0432\u043e\u0438\u043c\u0438 \u0441\u0438\u043b\u0430\u043c\u0438 | ProHoster","og:description":"\u0412 \u043f\u0440\u043e\u0448\u043b\u043e\u0439","og:url":"https:\/\/prohoster.info\/pt\/blog\/administrirovanie\/wapiti-proverka-sajta-na-uyazvimosti-svoimi-silami","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-07-17T05:42:02+00:00","article:modified_time":"2020-07-17T05:42:02+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"88992","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 10:45:41","updated":"2022-09-28 15:58:49","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/posts\/88992","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/comments?post=88992"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/posts\/88992\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/media\/88993"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/media?parent=88992"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/categories?post=88992"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/tags?post=88992"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}