v2だけでなく、ペンテストWebリソース用の無料ツールの概要

むかしむかし、 これについて書きましたが、少し貧弱で面倒です。 その後、レビューのツールのリストを拡張し、構造に記事を追加し、批判を考慮し（アドバイスをありがとう、 Leftyに感謝します）、SecLabのコンペティションに送信しました（そして、 リンクを公​​開しましたが、明らかな理由で誰も見ませんでした）。 競争は終わり、結果が発表され、良心をもってHabréに公開できます（記事）。

無料のPentester Webアプリケーションツール

この記事では、「ブラックボックス」戦略に従ってWebアプリケーションのペンテスト（侵入テスト）を行うための最も一般的なツールについて説明します。

これを行うために、このタイプのテストに役立つユーティリティを検討します。 次の製品カテゴリを検討してください。

1. ネットワークスキャナー
2. Web Scripting Scanner
3. 悪用
4. 自動化インジェクション
5. デバッガー（スニファー、ローカルプロキシなど）

一部の製品には普遍的な「特性」があるため、より良い結果が得られるカテゴリ（主観的意見）に関連付けます。

ネットワークスキャナー。

主なタスクは、利用可能なネットワークサービスの公開、バージョンのインストール、OSの決定などです。

Nmap

Nmap（「ネットワークマッパー」）は、ネットワーク分析とシステムセキュリティ監査のための無料のオープンソースユーティリティです。 コンソールの激しい相手はZenmapを使用できます。これはNmapのGUIです。

これは単なる「スマート」スキャナーではなく、深刻な拡張可能なツールです（「異常なチップ」 -Stuxnetワームの存在をノードで確認するスクリプトの存在（ ここで説明 ）。



nmap -A -T4 localhost







-A OSバージョンの判別、スクリプトおよびトレースを使用したスキャン

-T4時間管理設定（より多く-高速、0〜5）

localhost-ターゲットホスト

もっと難しいものはありますか？



nmap -sS -sU -T4 -A -v -PE -PP -PS21,22,23,25,80,113,31339 -PA80,113,443,10042 -PO --script all localhost







これは、Zenmapの「低速総合スキャン」プロファイルのオプションセットです。 かなり長い時間がかかりますが、最終的にはターゲットシステムについて学習できるより詳細な情報も提供します。 ロシア語のリファレンスガイド 。さらに詳しく説明する場合は、 初心者ガイドをNmapに翻訳することもお勧めします 。

Nmapは、Linux Journal、Info World、LinuxQuestions.Org、Codetalker Digestなどの雑誌やコミュニティから「年間最優秀セキュリティ製品」ステータスを獲得しています。

興味深い瞬間、Nmapは映画「Matrix：Reloaded」、「Die Hard 4」、「Bourne Ultimatum」、「Hottabych」などで見ることができます。

IPツール

IP-Tools-異なる種類のネットワークユーティリティの一種で、Windowsユーザー専用のGUIが付属しています。

ポートのスキャナー、共有リソース（共有プリンター/フォルダー）、WhoIs / Finger / Lookup、telnetクライアントなど。 便利で高速、機能的なツールです。



この分野には多くのユーティリティがあり、それらはすべて同様の動作原理と機能を持っているため、他の製品を検討することはほとんど意味がありません。 しかし、最も一般的に使用されるのはnmapです。

Web Scripting Scanner

一般的な脆弱性（SQL inj、XSS、LFI / RFIなど）またはエラー（削除された一時ファイル、インデックスディレクトリなど）を見つけようとする

Acunetix Web脆弱性スキャナー

Acunetix Web Vulnerability Scanner-リンクは、これがxssスキャナーであることを示していますが、これは完全に真実ではありません。 リンクを介して利用可能な無料版は非常に多くの機能を提供します。 通常、このスキャナーを初めて起動し、リソースに関するレポートを初めて受け取った人は小さなショックを経験します。これを行うことで理由を理解できます。 これは、サイト上のあらゆる種類の脆弱性を分析するための非常に強力な製品であり、 使い慣れた phpサイトだけでなく、他の言語でも機能します（ただし、言語の違いは指標ではありません）。 スキャナーはユーザーのアクションを単に「ピックアップ」するため、指示を説明する意味はありません。 一部のソフトウェアの典型的なインストールにおける「さらに、さらに、さらに、準備ができた」に似​​たもの。

日東

Niktoは、オープンソース（GPL）Webスキャナーです。 日常的な手作業を排除します。 ターゲットサイト（一部のtest.php、index_.phpなど）、データベース管理ツール（/ phpmyadmin /、/ pmaなど）で削除されていないスクリプトを検索します。つまり、最も頻繁にリソースをチェックします。通常、人的要因が原因で発生するエラー。

さらに、人気のあるスクリプトを見つけると、リリースされたエクスプロイト（データベースにある）をチェックします。

PUTやTRACEなどの利用可能な「不要な」方法を報告する

まあなど。 あなたが監査役として働いて、毎日ウェブサイト分析を行うならば、それは非常に便利です。

マイナスのうち、誤検知の割合が高いことに注意してください。 たとえば、404エラーの代わりに（発生するはずの）サイトが常に主要な情報を提供する場合、スキャナーはデータベースのすべてのスクリプトとすべての脆弱性がサイトにあると言います。 実際には、これはそれほど一般的ではありませんが、実際には、多くはサイトの構造に依存します。

古典的な使用：



./nikto.pl -host localhost







サイトで認証を受ける必要がある場合は、nikto.confファイルでSTATIC-COOKIE変数にCookieを設定できます。

ウィクト

Wikto -WindowsでのNikto。ただし、エラーをチェックする際の「ファジー」ロジック、GHDBの使用、リソースのリンクとフォルダーの取得、HTTPリクエスト/レスポンスのリアルタイムモニタリングなどの追加。 WiktoはC＃で記述されており、.NETフレームワークが必要です。

スキップフィッシュ

skipfishは、 Michal Zalewski（lcamt​​ufとして知られる）によるWeb脆弱性スキャナーです。 クロスプラットフォームのCで書かれています（Winの場合はCygwinが必要です）。 再帰的に（そして非常に長い時間、約20〜40時間、前回は96時間働いていましたが）サイト全体を巡回し、あらゆる種類のセキュリティホールを見つけます。 また、大量のトラフィックを生成します（数GBのインバウンド/アウトバウンド）。 しかし、特に時間とリソースがある場合は、すべての手段が優れています。

典型的な使用法：



./skipfish -o /home/reports www.example.com







「レポート」フォルダーには、htmlのレポート（ 例）があります。

w3af

w3af-オープンソースのWeb脆弱性スキャナーであるWeb Application Attack and Audit Framework。 GUIがありますが、コンソールの下から作業できます。 より正確には、これは多くのプラグインを持つフレームワークです。

あなたは長い間その利点について話すことができます、それを試してみることをお勧めします：]

典型的な作業は、プロファイルを選択し、目標を指定し、実際にそれを起動することです。

Mantraセキュリティフレームワーク

マントラ は実現した夢です 。 Webブラウザに埋め込まれた無料のオープンなセキュリティツールのコレクション。

すべての段階でWebアプリケーションをテストするときに非常に便利です。

使用法は、ブラウザのインス​​トールと起動に帰着します。



実際、このカテゴリには多くのユーティリティがあり、それらから特定のリストを選択することは非常に困難です。 ほとんどの場合、各5学期自体が必要なツールのセットを決定します。

悪用

ソフトウェアおよびスクリプトの脆弱性の自動化された便利な悪用のために、セキュリティ違反を悪用するためにパラメータを渡すだけでよい悪用を作成します。 また、エクスプロイトの手動検索を排除し、その場でそれらを使用する製品もあります。 このカテゴリについて説明します。

Metasploitフレームワーク

Metasploit®フレームワークは、当社のビジネスにおける一種のモンスターです。 彼は多くのことを知っているので、その指示はいくつかの記事で公開されます。 自動搾取（nmap + metasploit）を検討します。 要するに、Nmapは必要なポートを分析し、サービスをインストールし、metasploitはサービスクラス（ftp、sshなど）に基づいてエクスプロイトを適用しようとします。 テキストの説明の代わりに、autopwnのトピックで非常に人気のあるビデオを挿入します





または、必要なエクスプロイトの操作を単純に自動化することもできます。 例：



msf > use auxiliary/admin/cisco/vpn_3000_ftp_bypass

msf auxiliary(vpn_3000_ftp_bypass) > set RHOST [TARGET IP]

msf auxiliary(vpn_3000_ftp_bypass) > run







実際、このフレームワークの機能は非常に広範なため、さらに深くすることにした場合は、 リンクをクリックしてください。

アーミテージ

アーミテージ-Metasploit のサイバーパンク GUI ジャンルのOVA 。 ターゲットを視覚化し、エクスプロイトを推奨し、このフレームワークの高度な機能を提供します。 一般的に、すべてが美しく壮観に見えることを好む人のために。

スクリーンキャスト：

TenableNessus®

TenableNessus®脆弱性スキャナー -多くのことができますが、その機能の1つが必要です-どのサービスにエクスプロイトがあるかを判別します。 製品の無料版「ホームオンリー」



使用法：

• ダウンロード（システム用）、インストール、登録（キーがメールに添付されます）。
• サーバーを起動し、Nessus Server Managerにユーザーを追加しました（ユーザーの管理ボタン）
• 住所に行く

    https：// localhost：8834 / 

  ブラウザでフラッシュクライアントを取得します
• [スキャン]-> [追加]->フィールドに入力し（適切なスキャンプロファイルを選択）、[スキャン]をクリックします。

しばらくすると、スキャンレポートが[レポート]タブに表示されます。

エクスプロイトに対するサービスの実用的な脆弱性を確認するには、上記のMetasploit Frameworkを使用するか、エクスプロイト（ Explot-db 、 パケットストーム 、 explot searchなど）を見つけて 、 システムに対して手動で使用します。

私見：かさばる。 彼は彼をソフトウェア業界のこの分野のリーダーの一人として連れてきました。

射出自動化

多くのWebアプリsecスキャナーはインジェクションを検索しますが、まだ一般的なスキャナーです。 また、インジェクションの検索と操作に特に関係するユーティリティがあります。 それらは今議論されます。

sqlmap

sqlmapは、SQLインジェクションを見つけて操作するためのオープンソースユーティリティです。 MySQL、Oracle、PostgreSQL、Microsoft SQL Server、Microsoft Access、SQLite、Firebird、Sybase、SAP MaxDBなどのデータベースサーバーをサポートしています。

典型的な使用法は次のようになります。



python sqlmap.py -u "http://example.com/index.php?action=news&id=1"





ロシア語を含む十分なマニュアル。 ソフティナは、この分野で作業するとき、五年生の仕事を大いに促進します。

公式ビデオデモを追加します。

bsqlbf-v2

bsqlbf-v2 -perlスクリプト、「ブラインド」SQLインジェクションのブルートフォーサー 。 URLの整数値と文字列（文字列）の両方で機能します。

DBをサポート：

• MS-SQL
• MySQL
• PostgreSQL
• オラクル

使用例：



./bsqlbf-v2-3.pl -url www.somehost.com/blah.php?u=5 -blind u -sql "select table_name from imformation_schema.tables limit 1 offset 0" -database 1 -type 1







-url www.somehost.com/blah.php?u=5-パラメーターとのリンク

-blind u-インジェクションのパラメーター（デフォルトでは、アドレスバーの最後のパラメーターが取得されます）

-sql "imformation_schema.tables limit 1 offset 0からtable_nameを選択" -データベースに対する任意のリクエスト

-データベース1-データベースサーバー：MSSQL

-type 1-攻撃のタイプ、TrueおよびError（構文エラーなど）の回答に基づく「ブラインド」インジェクション

デバッガー

これらのツールは、主に開発者がコード実行の結果に関する問題のために使用します。 しかし、この方向は、必要なデータをその場で置換したり、入力パラメーターに応答するものを分析したり（ファジングなどを使用）できるなど、ペンテストでも役立ちます。

げっぷスイート

Burp Suiteは、侵入テストに役立つ一連のユーティリティです。 Webは、Raz0rのロシア語の良いレビューです（2008年に当てはまります）。

無料版には以下が含まれます。

• Burp Proxy-ローカルプロキシ。ブラウザから既に生成されたリクエストを変更できます。
• Burp Spider-既存のファイルとディレクトリを探しているクモ
• Burp Repeater-HTTP要求を手動で送信します
• Burp Sequencer-フォーム内のランダム値の分析
• Burp Decoder-標準コーデック（html、base64、hexなど）。その中には、任意の言語ですばやく記述できる数千ものものがあります。
• Burp Comparer-文字列照合コンポーネント

原則として、このパッケージは、この分野に関連するほとんどすべてのタスクを解決します。

フィドラー

Fiddler -Fiddlerは、すべてのHTTP（S）トラフィックを記録するデバッグプロキシです。 このトラフィックを探索し、ブレークポイントを設定し、着信データまたは発信データで「再生」できます。



Firesheep 、モンスターWiresharkなどもあります。選択はユーザーです。

おわりに

当然のことながら、それらの多くは単純に存在するため、各五半期には独自の武器庫と独自のユーティリティセットがあります。 私は最も便利で人気のあるものを持ってきてみました。 しかし、この方向で誰もが他のユーティリティに精通できるように、以下のリンクを提供します。

スキャナーとユーティリティのさまざまなトップ/リスト

• セキュリティおよびハッキングツール
• トップ100ネットワークセキュリティツール
• トップ10 Web脆弱性スキャナー 。
• トップ10脆弱性スキャナー
• OWASPトップ10ツールと戦術
• Webベースのアプリケーションセキュリティスキャナー
• WebAppSecによるWebアプリケーションセキュリティスキャナーリスト
• RDotフォーラムのInfosec Utilities
• 脆弱性スキャナー（Wikipedia）

Linuxディストリビューション。すでに多くの異なるペンテストユーティリティが含まれています

• バックトラック
• ペントー
• 弱い
• Backbuntu

upd ： Hack4Secチームによるロシア語のBurpSuiteドキュメント （ AntonKuzminが追加）



PSあなたはXSpiderについて沈黙することはできません。 彼はレビューに参加しませんが、それはシェアウェアです（このため（彼は知識がなく、最新バージョン7.8がないため）記事をSecLabに送信したときにわかり、記事にそれを含めませんでした）。 そして理論的には彼のレビューは計画されていました（私は彼のために難しいテストを用意していました）が、世界が彼を見るかどうかはわかりません。



PPS記事の一部の資料は、QAセクションのCodeFest 2012の今後のレポートで意図された目的に使用されます。ここでは、ここで言及されていないツール（無料、essno）、および使用する順序、期待される結果、構成のアルゴリズムがあります作業中にあらゆる種類のヒントやコツを使用します（レポートについてほぼ毎日考えています。トピックについて最高のことを自分で伝えようとします）

ちなみに、この記事によると、 Open InfoSec Days （ Habréのタグ 、 サイト ）でレッスンがあり、 korovany lookの資料を 奪うことができます。