flasim për mjete të dobishme për pentestuesit. Në artikullin e ri do të shikojmë mjetet për analizimin e sigurisë së aplikacioneve në ueb.
Kolegu ynë Unë tashmë e kam bërë diçka të tillë rreth shtatë vjet më parë. Është interesante të shihet se cilat mjete kanë ruajtur dhe forcuar pozicionet e tyre, dhe cilat janë zbehur në sfond dhe tani përdoren rrallë.
Vini re se kjo përfshin edhe Burp Suite, por do të ketë një botim të veçantë për të dhe shtojcat e tij të dobishme.
Përmbajtja:
Mbledh diçka
- një mjet Go për kërkimin dhe numërimin e nëndomaineve DNS dhe hartografimin e rrjetit të jashtëm. Amass është një projekt OWASP i krijuar për të treguar se si duken organizatat në internet për një të huaj. Amass merr emra nëndimenash në mënyra të ndryshme; mjeti përdor si numërimin rekurziv të nëndomeneve ashtu edhe kërkimet me burim të hapur.
Për të zbuluar segmentet e rrjetit të ndërlidhur dhe numrat e sistemit autonom, Amass përdor adresat IP të marra gjatë funksionimit. I gjithë informacioni i gjetur përdoret për të ndërtuar një hartë rrjeti.
Pro:
- Teknikat e mbledhjes së informacionit përfshijnë:
* DNS - kërkimi i fjalorit të nëndomeneve, nëndomaineve bruteforce, kërkimi inteligjent duke përdorur mutacione të bazuara në nëndomenet e gjetura, anulimi i pyetjeve DNS dhe kërkimi i serverëve DNS ku është e mundur të bëhet një kërkesë për transferimin e zonës (AXFR);* Kërkimi me burim të hapur - Ask, Baidu, Bing, CommonCrawl, DNSDB, DNSDumpster, DNSTable, Dogpile, Exalead, FindSubdomains, Google, IPv4Info, Netcraft, PTRArchive, Riddler, SiteDossier, ThreatCrowd, VirusTotal, Yahoo;
* Kërko bazat e të dhënave të certifikatave TLS - Censys, CertDB, CertSpotter, Crtsh, Entrust;
* Përdorimi i API-ve të motorëve të kërkimit - BinaryEdge, BufferOver, CIRCL, HackerTarget, PassiveTotal, Robtex, SecurityTrails, Shodan, Twitter, Umbrella, URLScan;
* Kërkoni arkivat e internetit në internet: ArchiveIt, ArchiveToday, Arquivo, LoCarchive, OpenUKArchive, UKGovArchive, Wayback;
- Integrimi me Maltego;
- Ofron mbulimin më të plotë të detyrës së kërkimit të nëndomeneve DNS.
Cons:
- Kini kujdes me amass.netdomains - ai do të përpiqet të kontaktojë çdo adresë IP në infrastrukturën e identifikuar dhe të marrë emra domenesh nga kërkimet e kundërta të DNS dhe certifikatat TLS. Kjo është një teknikë e "profilit të lartë", ajo mund të zbulojë aktivitetet tuaja të inteligjencës në organizatën nën hetim.
- Konsumi i lartë i memories, mund të konsumojë deri në 2 GB RAM në cilësime të ndryshme, gjë që nuk do t'ju lejojë ta përdorni këtë mjet në cloud në një VDS të lirë.
Altdns
— një mjet Python për përpilimin e fjalorëve për numërimin e nëndomaineve DNS. Ju lejon të gjeneroni shumë variante të nënfushave duke përdorur mutacione dhe permutacione. Për këtë përdoren fjalët që gjenden shpesh në nënfushat (për shembull: test, dev, stadim), të gjitha mutacionet dhe permutacionet aplikohen në nënfushat tashmë të njohura, të cilat mund të dorëzohen në hyrjen Altdns. Dalja është një listë e variacioneve të nëndomaineve që mund të ekzistojnë, dhe kjo listë mund të përdoret më vonë për forcën brutale DNS.
Pro:
- Punon mirë me grupe të mëdha të dhënash.
akuaton
- më parë njihej më mirë si një mjet tjetër për kërkimin e nëndomaineve, por vetë autori e braktisi këtë në favor të Amass-it të lartpërmendur. Tani aquatone është rishkruar në Go dhe është më i orientuar drejt zbulimit paraprak në faqet e internetit. Për ta bërë këtë, aquatone kalon nëpër domenet e specifikuara dhe kërkon faqet e internetit në porte të ndryshme, pas së cilës mbledh të gjitha informacionet rreth sajtit dhe merr një pamje të ekranit. I përshtatshëm për zbulimin e shpejtë paraprak të faqeve të internetit, pas së cilës mund të zgjidhni objektivat prioritare për sulme.
Pro:
- Dalja krijon një grup skedarësh dhe dosjesh që janë të përshtatshëm për t'u përdorur kur punoni më tej me mjete të tjera:
* Raporti HTML me pamjet e mbledhura të ekranit dhe titujt e përgjigjeve të grupuara sipas ngjashmërisë;* Një skedar me të gjitha URL-të ku u gjetën faqet e internetit;
* Skedar me statistika dhe të dhëna faqesh;
* Një dosje me skedarë që përmbajnë titujt e përgjigjeve nga objektivat e gjetur;
* Një dosje me skedarë që përmbajnë trupin e përgjigjes nga objektivat e gjetura;
* Pamjet e ekranit të faqeve të internetit të gjetura;
- Mbështet punën me raportet XML nga Nmap dhe Masscan;
- Përdor Chrome/Chromium pa kokë për të dhënë pamjet e ekranit.
Cons:
- Mund të tërheqë vëmendjen e sistemeve të zbulimit të ndërhyrjeve, kështu që kërkon konfigurim.
Pamja e ekranit është marrë për një nga versionet e vjetra të aquatone (v0.5.0), në të cilin është zbatuar kërkimi i nëndomainit DNS. Versionet më të vjetra mund të gjenden në .
MassDNS
është një mjet tjetër për gjetjen e nëndomaineve DNS. Dallimi kryesor i tij është se ai bën pyetje DNS drejtpërdrejt në shumë zgjidhës të ndryshëm DNS dhe e bën këtë me shpejtësi të konsiderueshme.
Pro:
- I shpejtë - i aftë për të zgjidhur më shumë se 350 mijë emra në sekondë.
Cons:
- MassDNS mund të shkaktojë ngarkesë të konsiderueshme në zgjidhësit DNS në përdorim, gjë që mund të çojë në ndalime në ata serverë ose ankesa për ISP-në tuaj. Përveç kësaj, do të vendosë një ngarkesë të madhe në serverët DNS të kompanisë, nëse ata i kanë dhe nëse janë përgjegjës për domenet që po përpiqeni të zgjidhni.
- Lista e zgjidhësve është aktualisht e vjetëruar, por nëse zgjidhni zgjidhësit e prishur DNS dhe shtoni të rinj të njohur, gjithçka do të jetë mirë.
Pamja e ekranit të aquatone v0.5.0
nsec3map
është një mjet Python për marrjen e një liste të plotë të domeneve të mbrojtura nga DNSSEC.
Pro:
- Zbulon shpejt hostet në zonat DNS me një numër minimal pyetjesh nëse mbështetja DNSSEC është aktivizuar në zonë;
- Përfshin një shtojcë për John the Ripper që mund të përdoret për të thyer hash-et që rezultojnë NSEC3.
Cons:
- Shumë gabime DNS nuk trajtohen siç duhet;
- Nuk ka paralelizim automatik të përpunimit të të dhënave NSEC - ju duhet të ndani hapësirën e emrave manualisht;
- Konsumi i lartë i memories.
Acunetix
— një skaner i dobësive në ueb që automatizon procesin e kontrollit të sigurisë së aplikacioneve në ueb. Teston aplikacionin për injeksione SQL, XSS, XXE, SSRF dhe shumë dobësi të tjera në ueb. Sidoqoftë, si çdo skaner tjetër, një shumëllojshmëri dobësish në ueb nuk zëvendëson një pentester, pasi nuk mund të gjejë zinxhirë komplekse dobësish ose dobësish në logjikë. Por mbulon shumë dobësi të ndryshme, duke përfshirë CVE të ndryshme, të cilat pentester mund t'i ketë harruar, kështu që është shumë i përshtatshëm për t'ju çliruar nga kontrollet rutinë.
Pro:
- Niveli i ulët i rezultateve false;
- Rezultatet mund të eksportohen si raporte;
- Kryen një numër të madh kontrollesh për dobësi të ndryshme;
- Skanimi paralel i hosteve të shumtë.
Cons:
- Nuk ka asnjë algoritëm deduplikimi (Acunetix do t'i konsiderojë faqet që janë identike në funksionalitet si të ndryshme, pasi ato çojnë në URL të ndryshme), por zhvilluesit po punojnë për të;
- Kërkon instalim në një server të veçantë ueb, i cili komplikon testimin e sistemeve të klientit me një lidhje VPN dhe përdorimin e skanerit në një segment të izoluar të rrjetit lokal të klientit;
- Shërbimi në studim mund të bëjë zhurmë, për shembull, duke dërguar shumë vektorë sulmi në formularin e kontaktit në sit, duke komplikuar kështu shumë proceset e biznesit;
- Është një zgjidhje pronësore dhe, në përputhje me rrethanat, jo falas.
Kërkim
— një mjet Python për të detyruar direktoritë dhe skedarët në faqet e internetit.
Pro:
- Mund të dallojë faqet reale “200 OK” nga faqet “200 OK”, por me tekstin “faqja nuk u gjet”;
- Vjen me një fjalor të dobishëm që ka një ekuilibër të mirë midis madhësisë dhe efikasitetit të kërkimit. Përmban shtigje standarde të zakonshme për shumë CMS dhe grupe teknologjike;
- Formati i tij i fjalorit, i cili ju lejon të arrini efikasitet dhe fleksibilitet të mirë në numërimin e skedarëve dhe drejtorive;
- Prodhim i përshtatshëm - tekst i thjeshtë, JSON;
- Mund të bëjë mbytje - një pauzë midis kërkesave, e cila është jetike për çdo shërbim të dobët.
Cons:
- Shtesat duhet të kalohen si varg, gjë që është e papërshtatshme nëse duhet të kaloni shumë shtesa menjëherë;
- Për të përdorur fjalorin tuaj, ai do të duhet të modifikohet pak në formatin e fjalorit Dirsearch për efikasitet maksimal.
wfuzz
- Fuzzer i aplikacionit në ueb Python. Ndoshta një nga fazat më të famshme të uebit. Parimi është i thjeshtë: wfuzz ju lejon të hapni çdo vend në një kërkesë HTTP, gjë që bën të mundur fazën e parametrave GET/POST, titujt HTTP, duke përfshirë Cookie dhe titujt e tjerë të vërtetimit. Në të njëjtën kohë, është gjithashtu i përshtatshëm për forcën e thjeshtë brutale të drejtorive dhe skedarëve, për të cilat ju nevojitet një fjalor i mirë. Gjithashtu ka një sistem filtri fleksibël, me të cilin mund të filtrosh përgjigjet nga faqja e internetit sipas parametrave të ndryshëm, gjë që ju lejon të arrini rezultate efektive.
Pro:
- Struktura multifunksionale - modulare, montimi zgjat disa minuta;
- Mekanizëm i përshtatshëm i filtrimit dhe fuzzimit;
- Ju mund të faza çdo metodë HTTP, si dhe çdo vend në një kërkesë HTTP.
Cons:
- Në zhvillim e sipër.
ffuf
- një web fuzzer në Go, i krijuar në "imazhin dhe ngjashmërinë" e wfuzz, ju lejon të gërvishtni skedarët, drejtoritë, shtigjet e URL-së, emrat dhe vlerat e parametrave GET/POST, titujt HTTP, duke përfshirë kokën e Host për forcën brutale e hosteve virtuale. wfuzz ndryshon nga vëllai i tij në shpejtësi më të lartë dhe disa veçori të reja, për shembull, ai mbështet fjalorët e formatit Dirsearch.
Pro:
- Filtrat janë të ngjashëm me filtrat wfuzz, ata ju lejojnë të konfiguroni në mënyrë fleksibël forcën brutale;
- Ju lejon të turbulloni vlerat e kokës HTTP, të dhënat e kërkesës POST dhe pjesë të ndryshme të URL-së, duke përfshirë emrat dhe vlerat e parametrave GET;
- Ju mund të specifikoni çdo metodë HTTP.
Cons:
- Në zhvillim e sipër.
gobuster
— një mjet Go për zbulim, ka dy mënyra funksionimi. E para përdoret për të përdorur skedarët dhe drejtoritë me forcë brutale në një faqe interneti, e dyta përdoret për nënfushat DNS me forcë brutale. Mjeti fillimisht nuk mbështet numërimin rekurziv të skedarëve dhe drejtorive, gjë që, natyrisht, kursen kohë, por nga ana tjetër, forca brutale e çdo pikë fundore të re në faqen e internetit duhet të lansohet veçmas.
Pro:
- Shpejtësia e lartë e funksionimit si për kërkimin me forcë brutale të nëndomeneve DNS dhe për forcën brutale të skedarëve dhe drejtorive.
Cons:
- Versioni aktual nuk mbështet vendosjen e titujve HTTP;
- Si parazgjedhje, vetëm disa nga kodet e statusit HTTP (200,204,301,302,307) konsiderohen të vlefshme.
Arjun
- një mjet për forcën brutale të parametrave të fshehur të HTTP në parametrat GET/POST, si dhe në JSON. Fjalori i integruar ka 25 fjalë, të cilat Ajrun i kontrollon në pothuajse 980 sekonda. Truku është se Ajrun nuk kontrollon secilin parametër veç e veç, por kontrollon ~ 30 parametra në të njëjtën kohë dhe shikon nëse përgjigja ka ndryshuar. Nëse përgjigja ka ndryshuar, i ndan këto 1000 parametra në dy pjesë dhe kontrollon se cila nga këto pjesë ndikon në përgjigjen. Kështu, duke përdorur një kërkim të thjeshtë binar, gjenden një parametër ose disa parametra të fshehur që kanë ndikuar në përgjigjen dhe, për rrjedhojë, mund të ekzistojnë.
Pro:
- Shpejtësi e lartë për shkak të kërkimit binar;
- Mbështetje për parametrat GET/POST, si dhe parametrat në formën e JSON;
Shtojca për Burp Suite funksionon në një parim të ngjashëm - , i cili është gjithashtu shumë i mirë në gjetjen e parametrave të fshehur të HTTP. Ne do t'ju tregojmë më shumë rreth tij në një artikull të ardhshëm rreth Burp dhe shtojcave të tij.
LinkFinder
— një skript Python për kërkimin e lidhjeve në skedarët JavaScript. I dobishëm për gjetjen e pikave/URL-ve të fshehura ose të harruara në një aplikacion ueb.
Pro:
- I shpejtë;
- Ekziston një shtojcë e veçantë për Chrome bazuar në LinkFinder.
.
Cons:
- Konkluzioni përfundimtar i papërshtatshëm;
- Nuk analizon JavaScript me kalimin e kohës;
- Një logjikë mjaft e thjeshtë për të kërkuar lidhje - nëse JavaScript është disi e turbullt, ose lidhjet fillimisht mungojnë dhe gjenerohen në mënyrë dinamike, atëherë nuk do të jetë në gjendje të gjejë asgjë.
JSParser
është një skrip Python që përdor и për të analizuar URL-të relative nga skedarët JavaScript. Shumë i dobishëm për zbulimin e kërkesave AJAX dhe përpilimin e një liste të metodave API me të cilat ndërvepron aplikacioni. Punon në mënyrë efektive në lidhje me LinkFinder.
Pro:
- Analizimi i shpejtë i skedarëve JavaScript.
sqlmap
është ndoshta një nga mjetet më të famshme për analizimin e aplikacioneve në internet. Sqlmap automatizon kërkimin dhe funksionimin e injeksioneve SQL, punon me disa dialekte SQL dhe ka një numër të madh teknikash të ndryshme në arsenalin e tij, duke filluar nga thonjëzat direkte deri tek vektorët kompleksë për injeksione SQL të bazuara në kohë. Përveç kësaj, ai ka shumë teknika për shfrytëzim të mëtejshëm për DBMS të ndryshme, kështu që është i dobishëm jo vetëm si një skaner për injeksionet SQL, por edhe si një mjet i fuqishëm për shfrytëzimin e injeksioneve SQL tashmë të gjetura.
Pro:
- Një numër i madh teknikash dhe vektorësh të ndryshëm;
- Numri i ulët i rezultateve false;
- Shumë opsione të rregullimit të imët, teknika të ndryshme, bazë të dhënash të synuar, skriptet e manipulimit për anashkalimin e WAF;
- Aftësia për të krijuar hale të prodhimit;
- Shumë aftësi të ndryshme operacionale, për shembull, për disa baza të të dhënave - ngarkimi / shkarkimi automatik i skedarëve, marrja e aftësisë për të ekzekutuar komanda (RCE) dhe të tjera;
- Mbështetje për lidhje të drejtpërdrejtë me bazën e të dhënave duke përdorur të dhënat e marra gjatë një sulmi;
- Ju mund të dërgoni një skedar teksti me rezultatet e Burp si hyrje - nuk ka nevojë të kompozoni manualisht të gjitha atributet e linjës së komandës.
Cons:
- Është e vështirë të personalizosh, për shembull, të shkruash disa nga çeqet e tua për shkak të dokumentacionit të pakët për këtë;
- Pa cilësimet e duhura, ai kryen një grup kontrollesh jo të plota, të cilat mund të jenë mashtruese.
NoSQLMap
— një mjet Python për automatizimin e kërkimit dhe shfrytëzimit të injeksioneve NoSQL. Është i përshtatshëm për t'u përdorur jo vetëm në bazat e të dhënave NoSQL, por edhe drejtpërdrejt kur auditoni aplikacionet në internet që përdorin NoSQL.
Pro:
- Ashtu si sqlmap, ai jo vetëm që gjen një cenueshmëri të mundshme, por gjithashtu kontrollon mundësinë e shfrytëzimit të tij për MongoDB dhe CouchDB.
Cons:
- Nuk mbështet NoSQL për Redis, Cassandra, zhvillimi është duke u zhvilluar në këtë drejtim.
oxml_xxe
— një mjet për futjen e shfrytëzimeve XXE XML në lloje të ndryshme skedarësh që përdorin formatin XML në një formë.
Pro:
- Mbështet shumë formate të zakonshme si DOCX, ODT, SVG, XML.
Cons:
- Mbështetja për PDF, JPEG, GIF nuk është implementuar plotësisht;
- Krijon vetëm një skedar. Për të zgjidhur këtë problem, mund të përdorni mjetin , i cili mund të krijojë një numër të madh skedarësh të ngarkesës në vende të ndryshme.
Shërbimet e mësipërme bëjnë një punë të shkëlqyer për të testuar XXE kur ngarkojnë dokumente që përmbajnë XML. Por mbani mend gjithashtu se mbajtësit e formatit XML mund të gjenden në shumë raste të tjera, për shembull, XML mund të përdoret si një format të dhënash në vend të JSON.
Prandaj, ju rekomandojmë t'i kushtoni vëmendje depove të mëposhtme, i cili përmban një numër të madh ngarkesash të ndryshme: .
tplmap
- një mjet Python për identifikimin dhe shfrytëzimin automatik të dobësive të injektimit të shabllonit nga ana e serverit; ai ka cilësime dhe flamuj të ngjashëm me sqlmap. Përdor disa teknika dhe vektorë të ndryshëm, duke përfshirë injeksionin e verbër, dhe gjithashtu ka teknika për ekzekutimin e kodit dhe ngarkimin/ngarkimin e skedarëve arbitrar. Përveç kësaj, ai ka në arsenalin e tij teknika për një duzinë motorë të ndryshëm shabllonesh dhe disa teknika për kërkimin e injeksioneve të kodit të ngjashëm me eval() në Python, Ruby, PHP, JavaScript. Nëse është i suksesshëm, hap një tastierë interaktive.
Pro:
- Një numër i madh teknikash dhe vektorësh të ndryshëm;
- Mbështet shumë motorë të paraqitjes së shablloneve;
- Shumë teknika operimi.
CeWL
- një gjenerator fjalori në Ruby, i krijuar për të nxjerrë fjalë unike nga një uebsajt i caktuar, ndjek lidhjet në sajt në një thellësi të caktuar. Fjalori i përpiluar i fjalëve unike mund të përdoret më vonë për të përdorur fjalëkalimet me forcë brutale në shërbime ose skedarë dhe direktori me forcë brutale në të njëjtën faqe interneti, ose për të sulmuar hash-et që rezultojnë duke përdorur hashcat ose John the Ripper. E dobishme kur përpiloni një listë "objektive" të fjalëkalimeve të mundshme.
Pro:
- Lehtë për t’u përdorur.
Cons:
- Duhet të keni kujdes me thellësinë e kërkimit në mënyrë që të mos kapni një domen shtesë.
Kalim i dobët
- një shërbim që përmban shumë fjalorë me fjalëkalime unike. Jashtëzakonisht i dobishëm për detyra të ndryshme që lidhen me thyerjen e fjalëkalimit, duke filluar nga forca brutale e thjeshtë online e llogarive në shërbimet e synuara, deri te forca brutale jashtë linje e hasheve të marra duke përdorur ose . Ai përmban rreth 8 miliardë fjalëkalime që variojnë nga 4 deri në 25 karaktere në gjatësi.
Pro:
- Përmban fjalorë specifikë dhe fjalorë me fjalëkalimet më të zakonshme - ju mund të zgjidhni një fjalor specifik për nevojat tuaja;
- Fjalorët përditësohen dhe plotësohen me fjalëkalime të reja;
- Fjalorët renditen sipas efikasitetit. Ju mund të zgjidhni opsionin për forcën e shpejtë brutale në internet dhe zgjedhjen e detajuar të fjalëkalimeve nga një fjalor voluminoz me rrjedhjet më të fundit;
- Ekziston një kalkulator që tregon kohën që duhet për të fshirë fjalëkalimet në pajisjen tuaj.
Ne dëshirojmë të përfshijmë mjetet për kontrollet CMS në një grup të veçantë: WPScan, JoomScan dhe hakeri AEM.
AEM_haker
është një mjet për identifikimin e dobësive në aplikacionet Adobe Experience Manager (AEM).
Pro:
- Mund të identifikojë aplikacionet AEM nga lista e URL-ve të paraqitura në hyrjen e saj;
- Përmban skriptet për marrjen e RCE duke ngarkuar një guaskë JSP ose duke shfrytëzuar SSRF.
JoomScan
— një mjet Perl për automatizimin e zbulimit të dobësive gjatë vendosjes së Joomla CMS.
Pro:
- Mund të gjejë të metat e konfigurimit dhe problemet me cilësimet administrative;
- Liston versionet e Joomla-s dhe dobësitë e lidhura, në mënyrë të ngjashme për komponentët individualë;
- Përmban më shumë se 1000 shfrytëzime për komponentët e Joomla-s;
- Prodhimi i raporteve përfundimtare në formate teksti dhe HTML.
WPScan
- një mjet për skanimin e faqeve të WordPress, ai ka dobësi në arsenalin e tij si për vetë motorin WordPress ashtu edhe për disa shtojca.
Pro:
- Të aftë për të renditur jo vetëm shtojcat dhe temat e pasigurta të WordPress, por edhe marrjen e një liste përdoruesish dhe skedarësh TimThumb;
- Mund të kryejë sulme me forcë brutale në faqet e WordPress.
Cons:
- Pa cilësimet e duhura, ai kryen një grup kontrollesh jo të plota, të cilat mund të jenë mashtruese.
Në përgjithësi, njerëz të ndryshëm preferojnë mjete të ndryshme për punë: të gjithë janë të mirë në mënyrën e tyre dhe ajo që i pëlqen një personi mund të mos i përshtatet fare tjetrit. Nëse mendoni se ne kemi injoruar padrejtësisht disa mjete të mira, shkruani për të në komente!
Burimi: www.habr.com