Обзор бесплатных инструментов для аудита web-ресурсов и не только

[tapokde]

И не только свои ;)

[remal]

А skipfish ( code.google.com/p/skipfish/ ) пробовали? Что про него скажите?

[BeLove]

Неприлично большое количество генерируемого трафика (вплоть до нескольких ГБ входящего)
Очень долгое время работы, из-за рекурсивного обхода сайта
Результаты не стоят затрачиваемых ресурсов.
Хотя, когда у тебя на ресурс есть около недели и есть безлимитный трафик — можно и запустить.
Но мое субъективное — не практичен.

[MrTiM]

О, тот редкий случай, когда в хаброблоге «Информационная безопасность» публикуется статья, имеющая отношение собственно к InfoSec.

[MrTiM]

Правда об аудите почти ничего и не сказано. Это обзор инструментов для аудита, и не более того.

[BeLove]

Действительно. Смотивировали изменить название топика на более корректное, полностью отображающее суть статьи.

[tangro]

Это вопиющее безобразие. Я считаю, необходимо принять меры.

[MrTiM]

Я тоже так считаю and I'm dead serious.

[Xkeeper]

Да, было бы интересно почитать примерный сценарий проведения аудита в Отечественных реалиях.

[BeLove]

Тут на самом деле все очень субъективно, по этому я пока думаю, как можно преподнести подобный материал.
И, как правило, если мы все делаем по правилам :), то это еще и анализ «белого ящика», для которого я выработал тоже некоторые подходы, о чем и хотел написать в следующей статье.

[wilelf]

Собрал специально примеры аудитов сайтов.

[korum]

Наконец интересная статья в разделе, добавил в избранное и знакомым раскидал ссылки, действительно есть что выбрать здесь для проверки своих ресурсов т.к. раньше о подобных утилитах даже и не знал. Во всяком случае спасибо автору, теперь можно провериться до наступления злополучного «дня Х».

ps У меня одного при виде человечка в Nikto в голове пролетело «ололо, я нло»?

[5erg]

да

[korum]

Краткость — сестра таланта ©

[azxc]

Интересная подборка. Metasploit я явно как-то пропустил в своей жизни.
Только вместо localhost есть смысл проверять извне на внешний интерфейс, так как обычно атаки начинаются оттуда и можно случайно пропустить сервисы, которые на localhost иначе висят либо вообще не висят. Плюс firewall обычно иначе настроен для внешнего интерфейса чем localhost.

[loginex]

А еще неплохо бы уметь настраивать WAF…

[MrTiM]

<irony>

Wife acceptance factor?

</irony>

[loginex]

web application firewall

[Mid]

похоже благодаря Вашей статье у меня всё таки дойдут руки до метасплоита, спасибо.

[BeLove]

Самое главное — это установить все для него и настроить. Я про gem's в частности.
А дальше — проще, хватает как и видео гайдов, так и просто статей, в том числе и на русском.

[int03e]

Можно Backtrack упомянуть, там «все в одном», насколько я помню.

[BeLove]

это целый дистрибутив, ему думаю можно посвятить целую, полноценную статью.
Там да, ubuntu, уже напичканная всевозможным софтом для тестов на проникновение (и не только вебом едины), тот же Nmap с Metasploit идет в «коробке».

[int03e]

Не вижу что там особенно можно описывать, дистр на базе слакса (по крайней мере, раньше был) с набором софта…

[AndryX]

Последние пару версий идут на базе убунту.

[naim]

Забыли также и про беспроводную область — а там KISMET

[BeLove]

беспроводной области — отдельная статья, это был преимущественно web ;)

[int03e]

Забыли упомянуть разнообразные гугл сканеры :-) Хотя бы от Cult of the Dead Cow. Штука простая, но иногда результативная.

[Ierixon]

Armitage — удобоваримая софтина-прослойка. Работает в связке с metasploit(по RPC) и nmap. Написана на JAVA, использует postgreSQL/mysql. Включена в дистр backtrack с недавнего времени. Чем то напоминает тот же XSpider (в плане не требует особых знаний в ИБ) только более богата функционалом за счет metasploit.

[Mach1ne]

[::::::]

[SLY_G]

Хм, Nikto нашёл у меня на сервере файл wp-app.log
Такого файла там нет :)
Напишу разработчикам…

[SLY_G]

О, а разработчик сразу и ответил, и мы всё быстро обсудили и решили проблему.
Мило.

[Mach1ne]

Очень «свежая» статья. Количество восторженных возгласов и добавлений в избранное успокаевает. Люди «побежавшие» тестить свои серваки… Просто диву даешься, какие хакеры тут сидели, и вдруг случайно узнали о nikto, metasploit и остальных. Автор правда забыл написать про сам аудит, но это не буда, толковые ребята и так справятся.
Просто жесть.

[setevik]

Ну, я в свое время узнал о современных инструментах из похожей статьи, заинтересовался, перерыл кучу ресурсов и уже серьезных, технических, статей. Специалистом не стал, но получил очень интересный опыт. Да и полезно программистам (и не только) увидеть своими глазами чем чреваты «несущественные» ошибки в ПО.

[kekekeks]

О том, что тут толпа народу — это программеры, не занимающиеся хацкерством чужих серваков, а честно пишущие свой код, которым приходится заниматься администрированием серваков с написанным софтом, Вы, естественно, не догадываетесь?

[SLY_G]

Ну у вас, наверно, это в генах сидело.
Как любят некоторые люди презрительно бросить, «ах, как это всё старо и давно известно».
Забывая, как они всё сами узнавали в первый раз…

[ksavenkov]

А как же Burp?

[aml]

Единственный в жизни руткит я посадил на сервер, как раз когда запускал всякое г «инструменты тестирования безопасности» из интернета. Be warned.

[ekungurov]

Это тот эксплоит, который предлагалось скачать под видом средства проверки, скомпилировать и запустить на сервере?

[aml]

Вряд ли. Это было ещё в прошлом веке.

[arkamax]

Еще:

sqlmap.sourceforge.net/

Ляля просто.

[BeLove]

подобные и не только вещи будут в новой статье на эту же тематику :)
Было очень много критики, которую я постараюсь учесть и написать статью v2. Она будет уже с более высоким «порогом входа».

[Lie_to_Me]

так же стоило бы добавить следующие программы\инструменты которые помогают в аудите веб безопасности:

Havij — Advanced SQL Injection Tool — itsecteam.com/en/news/article8.htm
софт для раскрутки уже найденной sql уязвимости, поддержка большого кол-ва баз, поиск админки, раскрутка Blind SQL Injector, поиск пасса по хешу.

Toolza 1.0 — rdot.org/forum/showthread.php?t=1142
мега-комбаин написанный Пашкелой на perl в виду чего является кросс платформенным.

PHPFastScanner — rdot.org/forum/showthread.php?t=1160

Приведу цитату:
— Сканер создан для выполнения всей рутиной работы при взломе через Reverse-IP.

Основные возможности:
*Анализ соседей целевого сайта по Reverse-IP
*Определение используемых движков (в базе 68 сигнатур)
*Возможность добавлять свои сигнатуры движков в общую базу (см. FAQ)
*Поиск phpinfo, phpmyadmin, sypex dumper
*Сканирование структуры сайта + вложенное сканирование каталогов
*Наборы словарей для сканирования структуры сайта, разбиты по типу файлов и по популярности
*Возможность добавлять свои наборы словарей для сканирования структуры сканера (см. FAQ)
*Метод HEAD сканирования структуры (экономия трафика + увеличение скорости)
*Определение несуществующих страниц по коду ответа и(!) методом сравнения содержимого с заведомо несуществующей страницей
*Раздельная обработка разных расширений (уменьшение ложных срабатываний при анализе структуры)
*Поддержка Keep-Alive соединений (увеличение скорости)
*Поддержка многопоточности (увеличение скорости)
*Понятный интерфейс, множество различных настроек, наличие встроенного FAQ
— [ Web ] Brute Forcer — forum.antichat.ru/thread109600.html
Брутер для проверки на слабые пассы веб форм.

fuzzdb (совместно к примеру с Burp Suite ) — code.google.com/p/fuzzdb/
*FuzzDB – это проект, объединяющий в себе большое количество фаззинг-баз, упорядоченных по своему назначению.
**впрочем сюда можно добавить ещё некоторое кол-во файзеров.