För lÀnge sedan skrev jag om , men ganska sparsamt och rörigt. Sedan beslutade jag mig för att utvidga listan med verktyg i översikten, ge artikeln en struktur, ta hÀnsyn till kritiken (stort tack för rÄden) och skickade in den till en tÀvling pÄ SekLab (och publicerade , men av uppenbara skÀl sÄg ingen den). TÀvlingen Àr avslutad, resultaten har tillkÀnnagivits och med gott samvete kan jag publicera den (artikeln) pÄ Habr.
Gratuitous verktyg för pentestare av webbapplikationer
I den hÀr artikeln kommer jag att berÀtta om de mest populÀra verktygen för pentestning (penetrationstester) av webbapplikationer enligt strategin för en "svart lÄda".
För detta kommer vi att titta pÄ verktyg som hjÀlper till med denna typ av testning. Vi kommer att undersöka följande produktkategorier:
- NĂ€tverksscanners
- SÄrbarhetsscannare för webbscript
- Exploatering
- Automatisering av injektioner
- Debuggerar (sniffers, lokala proxyservrar etc.)
Vissa produkter har en universell "karaktÀr", sÄ jag kommer att klassificera dem i den kategori dÀr de ger detbÀsta resultatet (subjektiv Äsikt).NÀtverksscanners.
Huvuduppgiften Àr att avslöja tillgÀngliga nÀtverks tjÀnster, faststÀlla deras versioner, identifiera operativsystem etc.
Nmap
Nmap ("Network Mapper")
Det Àr inte bara en "smart" skanner, utan ett seriöst utbyggbart verktyg (en av de "ovanliga funktionerna" Àr att det finns ett skript för att kontrollera en vÀrd för den kÀnda masken "
StuxnethÀr nmap -A -T4 localhost
-A för att bestÀmma OS-version, skanning med skript och spÄrning
-T4 instÀllning av tidskontroll (högre - snabbare, frÄn 0 till 5)
localhost - mÄl vÀrd
Vill du ha nÄgot lite tuffare?
nmap -sS -sU -T4 -A -v -PE -PP -PS21,22,23,25,80,113,31339 -PA80,113,443,10042 -PO --script all localhost
Detta Àr en uppsÀttning alternativ frÄn profilen "lÄngsam omfattande skanning" i Zenmap. Det tar sin tid, men ger mer detaljerad information som kan lÀras om det mÄl systemet.
Referensguide pÄ ryska Beginner's Guide to Nmap .
Nmap har fĂ„tt utmĂ€rkelsen "Ă
rets sÀkerhetsprodukt" av tidningar och samhÀllen som Linux Journal, Info World, LinuxQuestions.Org och Codetalker Digest.
En intressant detalj Àr att Nmap kan ses i filmer som "Matrix: Reloaded", "Die Hard 4", "The Bourne Ultimatum", "Hotabych" och .
IP-Tools
Àr en uppsÀttning av olika nÀtverksverktyg, levereras med GUI, "dedikerad" till Windows-anvÀndare.
Portskanner, resursdelning (delade skrivare/mappar), WhoIs/Finger/Lookup, telnet-klient och mycket mer. En praktisk, snabb och funktionell lösning.
Det finns ingen mening med att övervÀga andra produkter, eftersom det finns mÄnga verktyg inom detta omrÄde och de alla har liknande principer och funktionalitet. Nmap förblir dock den mest anvÀnda.
SÄrbarhetsscannare för webbscript
Försöker hitta populÀra sÄrbarheter (SQL inj, XSS, LFI/RFI osv.) eller fel (ej borttagna temporÀra filer, indexering av kataloger osv.)
Acunetix Web Vulnerability Scanner
â via lĂ€nken stĂ„r det att detta Ă€r en XSS-skanner, men det Ă€r inte helt korrekt. Den gratisversion som finns tillgĂ€nglig via lĂ€nken erbjuder en ganska stor funktionalitet. Vanligtvis blir en person som kör denna skanner för första gĂ„ngen, och fĂ„r sin rapport, lite chockad, och du kommer att förstĂ„ varför nĂ€r du gör det. Det Ă€r en mycket kraftfull produkt för att analysera alla typer av sĂ„rbarheter pĂ„ webbplatsen och fungerar inte bara med de webbsidor vi Ă€r vana vid pĂ„ PHP, utan Ă€ven med andra sprĂ„k (Ă€ven om skillnaden i sprĂ„k inte Ă€r en indikator). Det finns ingen mening med att beskriva instruktionerna, eftersom skannern helt enkelt "plockar upp" anvĂ€ndarens Ă„tgĂ€rder. NĂ„got liknande "nĂ€sta, nĂ€sta, nĂ€sta, klart" i en typisk installation av nĂ„gon mjukvara.
Nikto
Àr en Open Source (GPL) webskanner. Den eliminerar rutinarbetet. Den letar pÄ den mÄlade webbplatsen efter ej borttagna skript (sÄsom test.php, index_.php osv.), verktyg för att administrera databaser (/phpmyadmin/, /pma och liknande) osv., vilket innebÀr att den kontrollerar resurser för de vanligaste felen som ofta uppstÄr pÄ grund av mÀnskliga faktorer.
Dessutom, om den hittar nÄgot populÀrt skript, kontrollerar den det för kÀnda exploateringar (som finns i databasen).
Rapporterar om tillgÀngliga "oönskade" metoder, som PUT och TRACE
Och sÄ vidare. Mycket praktiskt om du arbetar som revisor och dagligen analyserar webbplatser.
Bland nackdelar vill jag nÀmna den höga andelen falska positiver. Till exempel, om din webbplats istÀllet för att ge ett 404-fel (nÀr det borde uppstÄ) alltid returnerar startsidan, kommer skannern att sÀga att alla skript och sÄrbarheter frÄn dess databas finns pÄ din webbplats. I praktiken förekommer detta inte sÄ ofta, men som en faktum beror mycket pÄ strukturen av din webbplats.
Klassisk anvÀndning:
.\/nikto.pl -host localhost
Om det behövs att vara inloggad pÄ webbplatsen kan man stÀlla in en cookie i filen nikto.conf, variabeln STATIC-COOKIE.
Wikto
â Nikto för Windows, men med vissa tillĂ€gg, som "fuzzy" logik vid felkontroll, anvĂ€ndning av GHDB, att fĂ„ lĂ€nkar och mappar frĂ„n resursen, realtidsövervakning av HTTP-förfrĂ„gningar/svar. Wikto Ă€r skrivet i C# och krĂ€ver .NET framework.
skipfish
â en sĂ„rbarhetsskanner frĂ„n (kĂ€nd under smeknamnet lcamtuf). Skriven i C, plattformsoberoende (för Windows behövs Cygwin). Den genomsöker webbplatsen rekursivt (och mycket lĂ„ngsamt, ungefĂ€r 20â40 timmar, Ă€ven om jag senast hade den igĂ„ng i 96 timmar) och hittar alla möjliga sĂ€kerhetsbrister. Den genererar ocksĂ„ mycket trafik (flera gigabyte in- och utgĂ„ende). Men alla medel Ă€r bra, speciellt om man har tid och resurser.
Typisk anvÀndning:
.\/skipfish -o \/home\/reports www.example.com
I mappen "reports" kommer det att finnas en rapport i HTML, .
w3af 
â Web Application Attack and Audit Framework, en öppen kĂ€llkod sĂ„rbarhetsskanner. Den har ett GUI, men man kan ocksĂ„ arbeta frĂ„n konsolen. Mer exakt Ă€r det ett ramverk med .
Man kan prata lÀnge om dess fördelar, det Àr bÀttre att prova det :]
Typiskt arbete med det handlar om att vÀlja en profil, ange mÄlet och helt enkelt köra det.
Mantra Security Framework
Àr en dröm som blivit sann. En samling fria och öppna verktyg för informationssÀkerhet, som kan integreras i webblÀsaren.
Mycket anvÀndbara vid testning av webbapplikationer i alla skeden.
AnvÀndningen handlar om installation och uppstart av webblÀsaren.
Det finns faktiskt mÄnga verktyg i denna kategori och det Àr ganska svÄrt att sÀrskilja en specifik lista. Oftast bestÀmmer varje pentester sjÀlv vilken uppsÀttning verktyg de behöver.
Exploatering
För en automatiserad och mer praktisk anvÀndning av sÄrbarheter i programvara och skript skrivs exploateringar som endast behöver ta emot parametrar för att utnyttja sÀkerhetshÄlet. Det finns produkter som eliminerar behovet av manuell sökning efter exploateringar och tillÀmpas "on-the-fly". Denna kategori kommer att vara föremÄlet för diskussion nu.
Metasploit Framework 
â en riktig jĂ€tte inom vĂ„rt omrĂ„de. Den kan sĂ„ mycket att instruktionen skulle strĂ€cka sig över flera artiklar. Vi kommer att ta en titt pĂ„ automatisk exploatering (nmap + metasploit). PoĂ€ngen Ă€r att Nmap kommer att analysera den port vi behöver, identifiera tjĂ€nsten, och metasploit kommer att försöka tillĂ€mpa exploateringar baserat pĂ„ tjĂ€nsteklassen (ftp, ssh osv.). IstĂ€llet för en textuell instruktion ska jag infoga en video, ganska populĂ€r pĂ„ temat autopwn.
Man kan ocksÄ bara automatisera arbetet för den exploatering vi behöver. Till exempel:
msf > anvÀnd auxiliary/admin/cisco/vpn_3000_ftp_bypass
msf auxiliary(vpn_3000_ftp_bypass) > sÀtt RHOST [TARGET IP]
msf auxiliary(vpn_3000_ftp_bypass) > kör
I sjÀlva verket Àr möjligheterna med detta framework mycket omfattande, sÄ om du har bestÀmt dig för att fördjupa dig, gÄr vi vidare via
Armitage
â OVA inom cyberpunk-genren GUI för Metasploit. Visualiserar mĂ„let, rekommenderar exploateringar och erbjuder avancerade funktioner av detta framework. För de som uppskattar att allt ser snyggt och imponerande ut.
Screencast:
Tenable NessusÂź
â kan mycket, men vi behöver en av dess funktioner â att identifiera vilka tjĂ€nster som har exploateringar. Den kostnadsfria versionen av produkten Ă€r "home only".
AnvÀndning:
- Ladda ner (för ditt system), installera, registrera (nyckeln skickas via e-post).
- Starta servern, lÀgg till en anvÀndare i Nessus Server Manager (knappen Hantera anvÀndare).
- GĂ„ till adressen
https://localhost:8834/
och fÄ flash-klienten i webblÀsaren.
- Scans -> Add -> fyll i fÀlten (vÀlj en passande skanningsprofil) och tryck pÄ Scan.
Inom kort kommer rapporten om skanningen att visas i fliken Rapporter.
För att kontrollera den praktiska sÄrbarheten hos tjÀnster med exploateringar kan man anvÀnda tidigare nÀmnda Metasploit Framework eller försöka hitta en exploatering (till exempel pÄ , , med mera) och anvÀnda den manuellt mot ditt system.
IMHO: för klumpig. Jag nÀmner den som en av ledarna inom detta omrÄde i mjukvaruindustrin.
Automatisering av injektioner.
MÄnga web app sec-skannrar söker efter injektioner, men de Àr fortfarande bara allmÀnna skannrar. Det finns dock verktyg som specifikt fokuserar pÄ att söka efter och utnyttja injektioner. Det Àr vad vi kommer att diskutera nu.
sqlmap
â en öppen kĂ€llkod verktyg för att söka efter och utnyttja SQL-injektioner. Den stöder databasservrar som: MySQL, Oracle, PostgreSQL, Microsoft SQL Server, Microsoft Access, SQLite, Firebird, Sybase, SAP MaxDB.
Typisk anvÀndning Àr begrÀnsad till raden:
python sqlmap.py -u "http://example.com/index.php?action=news&id=1"
Det finns mÄnga handledningar, inklusive pÄ ryska. Programvaran underlÀttar arbetet för penetrationstestare inom detta omrÄde.
Jag lÀgger till en officiell videodemonstration:
bsqlbf-v2
â ett Perl-skript, bruteforce "blinda" SQL-injektioner. Fungerar med bĂ„de heltalvĂ€rden i URL:en och med strĂ€ngvĂ€rden.
Stöder databaser:
- MS-SQL
- MySQL
- PostgreSQL
- Oracle
Exempel pÄ anvÀndning:
./bsqlbf-v2-3.pl -url www.somehost.com/blah.php?u=5 -blind u -sql "select table_name from imformation_schema.tables limit 1 offset 0" -database 1 -type 1
-url â LĂ€nk med parametrar
-blind u â parameter för injektion (standardmĂ€ssigt tas den sista frĂ„n adressstrĂ€ngen)
-sql "select table_name from information_schema.tables limit 1 offset 0" â vĂ„r godtyckliga frĂ„ga till databasen
-database 1 â databasserver: MSSQL
-type 1 â attacktyp, "blind" injektion, baserad pĂ„ sanna och fel (till exempel syntaktiska fel) svar
Debuggers
Dessa verktyg anvÀnds huvudsakligen av utvecklare nÀr det Àr problem med resultatet av deras kod. Men detta omrÄde Àr ocksÄ anvÀndbart vid penetrationstestning, nÀr man kan ersÀtta viktiga uppgifter "i realtid", analysera vad som kommer som svar pÄ vÄra indata (till exempel vid fuzzing) och sÄ vidare.
Burp Suite
â en samling verktyg som hjĂ€lper vid penetrationstester. Det finns en pĂ„ ryska av Raz0r (dock frĂ„n 2008).
Den kostnadsfria versionen inkluderar:
- Burp Proxy â en lokal proxy som gör det möjligt att Ă€ndra redan formade förfrĂ„gningar frĂ„n webblĂ€saren
- Burp Spider â en spindel som söker efter befintliga filer och kataloger
- Burp Repeater â manuell avsĂ€ndning av HTTP-förfrĂ„gningar
- Burp Sequencer â analys av slumpmĂ€ssiga vĂ€rden i formulĂ€r
- Burp Decoder â standardkodare-dekoder (html, base64, hex, etc.), av vilka det finns tusentals som snabbt kan skrivas pĂ„ ett sprĂ„k
- Burp Comparer â komponent för strĂ€ngjĂ€mförelse
Detta paket löser i princip nÀstan alla uppgifter relaterade till detta omrÄde.
Fiddler
Fiddler Àr en debugger proxy som loggar all HTTP(S) trafik. Den möjliggör undersökning av denna trafik, sÀtter breakpointar och lÄter anvÀndaren "leka" med inkommande eller utgÄende data.
Det finns ocksÄ , ett monster och andra, valet Àr upp till anvÀndaren.
Slutsats
Naturligtvis har varje pentester sitt eget arsenal och sina egna verktyg, eftersom de helt enkelt Àr otaliga. Jag har försökt att nÀmna nÄgra av de mest anvÀndbara och populÀra. Men för att alla intresserade ska kunna bekanta sig med fler verktyg inom detta omrÄde, kommer jag att ge lÀnkar nedan.
Olika topplistor/övergripande listor av skannrar och verktyg
- .
Linux-distributioner som redan har massor av olika verktyg för pentesting
uppdatering: pÄ ryska frÄn "Hack4Sec"-teamet (tillagd )
P.S. Man kan inte tiga om XSpider. Det deltar inte i översikten, Àven om det Àr sÄ kallat gratis (jag fick reda pÄ det nÀr jag skickade artikeln till SekLab, faktiskt pÄ grund av detta (bristande kunskap, och att jag inte hade den senaste versionen 7.8) sÄ jag inkluderade det inte i artikeln). Och det var egentligen tÀnkt att inkludera en översikt över det (jag har utarbetat ganska tuffa tester för det), men jag vet inte om vÀrlden kommer att se det.
P.P.S. Vissa material frÄn artikeln kommer att anvÀndas pÄ ett direkt sÀtt i den kommande förelÀsningen pÄ 2012 i QA-sektionen, dÀr verktyg som inte nÀmns hÀr kommer att tas upp (gratis, sÄklart), samt en beskrivning av algoritmen för vilken ordning man ska anvÀnda, vilket resultat man kan förvÀnta, vilka konfigurationer som ska anvÀndas och alla typer av tips och tricks i arbetet (jag funderar pÄ förelÀsningen nÀstan varje dag, jag ska försöka att dela med mig av det bÀsta inom Àmnet)
Förresten, det hölls en lektion angÄende denna artikel pÄ Open InfoSec Days (, ), kan man plundra karavaner titta .
KĂ€lla: habr.com
