OWASP-Zap também conhecido como Zaproxy é um proxy interceptar projetado para a segurança testes de aplicações web.
Abrir Zaproxy, indo para Aplicações Web |Aplicações Web fuzzers e
selecionando owasp-zap. Haverá um aviso pop-up que deve ser aceito para começar o programa.
Ao aceitar o aviso de licença, OWASP-Zap vai abrir e exibir outro pop-
perguntando se você gostaria de criar um certificado SSL da CA raiz. Isto permite Zaproxy
para interceptar o tráfego HTTPS sobre SSL em um navegador. Isto é importante para aplicações de teste
que usam HTTPS. Para gerar um certificado SSL, clique no Gerar botão.
Haverá uma janela que aparece pedindo para gerar ou importar um certificado. Você pode gerar um certificado clicando em Gerar. Você pode salvar o novo certificado
clicando no Salvar e selecionar onde você deseja colocá-lo. O novo arquivo de certificado é chamado owasp_cap_root_ca.cer.
Uma vez que você salvou o arquivo de CA, clique em Ok e abrir o seu navegador. Para o Firefox, falir Editar |Preferências e clique no Avançar guia. Clique no Criptografia
sub-aba e clique em Exibir certificados. Em seguida clique em Importação e selecione o certificado você gerada em Zaproxy (o . Cer arquivo). Firefox irá perguntar em quem confiar com o
novo Autoridade de Certificação. Confira todas as três opções, que são sites de confiança, e-mail desenvolvedores de usuários, e software. Clique em Ok duas vezes.
Capítulo 3
O próximo passo é configurar o Firefox para procuração todo o tráfego através Zaproxy. Faça isso , indo para Editar, Preferências, selecionar o Avançado guia e, em seguida, selecionando o
Rede guia. Clique no Configurar botão, clique em Configuração manual de proxy, tipo localhost e porta 8080, Que é o padrão para Zaproxy. Clique no
caixa ao lado Use este servidor proxy para todos os protocolos e clique em OK. O tela a seguir demonstra essa configuração:
Abra Zaproxy e você deve ver uma Sites janela no lado superior esquerdo. Esta vontade preencher como você navegar na Internet usando o Firefox. Você pode ver todos os pedidos e respostas para cada página na janela da direita. Zaproxy dá uma visão fácil de todos
os recursos que estão sendo utilizados por cada página.
Você também pode fazer uma avaliação específica de um site, indo para o início rápido janela e digitando em um site na URL para atacar espaço. A sequência
Screenshot é Zaproxy executar uma verificação de www.thesecurityblogger.com:
Zaproxy irá realizar um rastreamento de aranha do site da meta identificar todas as
links associados com o alvo, bem como varredura em busca de vulnerabilidades. Para ver o vulnerabilidades, clique no Alertas guia.
Note-se que Zaproxy não automatizar a autenticação por padrão. Tudo o login
solicitações falhará usando uma varredura automática se as configurações padrão estão habilitados.
Capítulo 3
Você pode configurar o login automático usando Zaproxy, no entanto, você terá que primeiro registrar manualmente em um site enquanto Zaproxy está habilitado, diga Zaproxy onde o login e logoff são pedidos e habilitar o recurso de auto-login. O GET solicitações
será exibido na Sites janela e você deve destacar tanto o login e de logout
respostas sob a Respostas guia clicando com o botão direito sobre a resposta, ao clicar em Assinalar como conteúdo e selecionar se é a de login ou logout.
Um ícone com uma linha marrom aparecerá na barra de ferramentas representando automático autenticação. Clique sobre esse ícone para ativar a autenticação automática de modo que Zaproxy pode logar automaticamente em qualquer pedido de autenticação ao fazer uma avaliação automática de um alvo. Este recurso é útil para auto-explorar um site
que requer autenticação.
Zaproxy tem um lugar de mercado encontrado em Ajudar |Verificar atualizações que oferece outra características, que podem ser adicionados ao arsenal Zaproxy.
Zaproxy oferece diferentes opções de relatórios encontrados sob a Relatório guia.
Capítulo 3
Websploit
Websploit é um projeto de código aberto usado para digitalizar e analisar sistemas remotos encontrar vulnerabilidades.
Para acessar Websploit, ir ao abrigo Aplicações Web |Aplicações Web fuzzers e selecionar websploit. ATerminal janela pop-up com o Websploit bandeira. Você
pode ver todos os módulos disponíveis eo que é necessário para executar um módulo específico por datilografia Mostrar módulos.
Tipo USO seguido do módulo que você deseja e preencha os requisitos para executar. Por exemplo, para executar o Webkiller módulo, tipo usar a rede / Webkiller e encher no alvo para atacar o uso set TARGET comandos. Tipo RUN para executar o módulo.
Exploração
Se um verificador da penetração investe tempo e recursos adequada durante o
Reconhecimento de um alvo, o verificador da penetração deve acabar com uma lista de alvos com possíveis vulnerabilidades. O próximo passo é priorizar o valor de cada alvo para o seu missão, aproximando o nível de esforço necessário para explorar possíveis vulnerabilidades, e julgar o risco associado com a realização do ataque. A vulnerabilidade e
exploração disponível em Kali são ideais para a identificação e exploração de vulnerabilidades encontrados durante o reconhecimento de servidores de aplicativos web.
Metasploit
O Metasploit quadro é uma das ferramentas mais populares para a exploração do lado do servidor ataques. É considerada uma das ferramentas mais úteis para testadores de penetração. HD Moore criado em 2003. Ele é usado como uma ferramenta de teste de penetração legítimo, bem como uma ferramenta
utilizado por atacantes para realizar a exploração não autorizada de sistemas. Há uma abundância de fontes dedicado a ensinar como usar o Metasploit quadro. No contexto deste livro, vamos examinar como Metasploit é usado para a exploração do lado do servidor para testar aplicações web em potencial.
Nota para certificar-se de Postgres SQL e serviços Metasploit são iniciados. Você pode fazê-lo digitando postgres serviço começar e serviço
início Metasploit no Terminal janela como root.
O primeiro passo é abrir um console e digitar msfconsole para lançar Metsaploit.
msfconsole é a forma mais popular para lançar Metasploit. Ele fornece um usuário interface para acessar o quadro Metasploit inteiro. Comandos básicos, como
ajudar e exposição permitirá que você navegue através Metasploit.
Note-se que existem outros métodos para lançar Metasploit como msfgui (Baseado em GUI) e msfcli (Linha à base de comando).
Em adição aos comandos Metasploit, msfconsole permitirá que você invocar
comandos do sistema operacional subjacente, como sibilo ou nmap. Isso é útil porque permite a um invasor executar tarefas rotineiras sem sair do console.
Em nosso primeiro passo, vamos usar nmap para fazer a varredura da rede local. Os resultados podem
Capítulo 3
O comando que emitimos é:
my.xml rede nmap-n-oX
Vamos importar os nossos resultados de nmap em Metasploit usando o arquivo XML que criamos. Fazemos isso através do comando:
db_import my.xml
Uma verificação rápida dos comandos do host mostra que a nossa importação é bem sucedida e
Metasploit tem agora a nmap dados.
Nós também irá emitir o serviços comando para ver os serviços disponíveis dentro Metasploit. O seguinte é um exemplo de saída do serviço comando:
Você pode realizar a digitalização para nmap e importar o arquivo XML para o Metasploit banco de dados em uma única etapa usando o comando db_nmap. No exemplo a seguir, nós está usando db_nmap para digitalizar um host usando o nmap comandos.
Podemos verificar que Metasploit tem a informação relevante na sua emissão de banco de dados o hospedeiros e serviços comandos.
O serviços comando revela que estamos usando o compartilhamento de arquivos Samba. Vamos ver se podemos
procurar um exploit e tirar proveito disso. É importante notar que, embora
estamos atacando um servidor web real, neste caso, não precisa necessariamente tentar para explorar uma vulnerabilidade web. Atacantes reais vai aproveitar todo o software rodando em um servidor web para acessar informações.
Vemos vários exploits Samba disponível. Eles também têm rankings. Usaremos o usermap_script explorar com uma excelente classificação. Este módulo explora o
vulnerabilidade de execução de comando em versões de Samba 3.0.20 através 3.0.25rc3. Mais informações sobre este exploit pode ser encontrada em http://www.metasploit.com/ modules / exploit / multi / samba / usermap_script.
Capítulo 3
Para usar um específico explorar, emitimos o usar comando. Neste caso:
Uma vez que um exploit é selecionado, é preciso ver que informação é necessária antes de podemos executar o selecionado explorar. Fazemos isso através da identificação do requerido opções listadas na saída e selecionar uma carga útil que queremos entregar. Nós
emitir o comando mostrar opções para ver as opções necessárias:
Podemos ver esse exemplo que precisamos de uma RHOST entrada. RHOST é o endereço IP do host remoto que estão atacando. Nós também precisamos selecionar a carga e definir o opções de carga útil. A carga útil é o código que injeta em si e executa o exploit. Desde a mesma vulnerabilidade pode existir usando vários métodos, podemos eventualmente ter várias cargas úteis para escolher. Para ver as cargas disponíveis, emita o exposição
payloads comando.
Uma vez que vemos uma carga que queremos usar, o próximo passo é usar a definir payload
Capítulo 3
Uma vez que a carga é definido, podemos emitir o mostrar opções comando novamente para verificar a opções específicas para a carga útil.
Podemos ver isso de carga específico está nos pedindo para definir o LHOST e a LPORT. O
LHOST é o host local ou sua caixa atacante Metasploit. A exploração faz o controle remoto sediar ligar de volta para o sistema de hospedagem Metasploit, por isso o host remoto precisa sabe o que o seu endereço de IP é.
Além disso, é preciso definir a porta do host remoto irá usar para se comunicar com
Metasploit. Muitos ambientes corporativos restringir portas de saída através de um firewall
ou roteador. A melhor prática é usar uma porta comum, como porta 443, Uma vez que é geralmente reservados para o tráfego SSL, que a maioria das empresas permitem saída. Além disso, outra benefício do uso de porta 443 é que a maioria das organizações não inspecionar SSL. Nós achamos que
utilização 443 como LPORT para a maioria dos ataques nos permite ignorar ferramentas de proxy interno um
organização pode ter implantado.
Quando terminar de configurar as nossas opções, podemos escrever, explorar para executar o ataque. Quando
o exploit é executado com êxito, você será conectado ao servidor remoto. Você pode
executar qualquer comando e, neste exemplo, neste particular explorar dá acesso root. Raiz acesso significa acesso completo ao seu servidor remoto alvo.
Existem vários exploram e carga opções disponíveis no quadro Metasploit. Certifique-se de rever as opções disponíveis no http://www.metasploit.com/.
w3af
w3af (Abreviação de Aplicações Web Attack e Quadro de Auditoria) é um open-source
scanner de segurança de aplicações web e ferramenta de exploração. W3af pode ser acessado em Avaliação de Aplicações Web |Scanners de Vulnerabilidade Web seleccionando w3af.
Capítulo 3
w3af oferece um assistente, no entanto, não é necessário para executar corretamente uma varredura. O primeiro
passo ou está a criar um novo perfil ou aproveitando um perfil existente. Os perfis são utilizados para plugins de grupo que será executado em um alvo. w3af vem com algum grande defeito grupos como OWASP TOP10. Definições de plugins existentes serão exibidas em
A janela Centro de como você selecioná-los, como o exemplo a seguir do OWASP
Perfil TOP10. Você pode selecionar um perfil existente ou o novo perfil que você acabou de criado na coluna da esquerda. Se você estiver usando um novo perfil ou editar um já existente perfil, você pode marcar a caixa para qualquer plugins que deseja verificar. Quanto mais plugins você verificar, quanto mais tempo a digitalização vai demorar. w3af irá avisá-lo de possíveis atrasos se você verificar um grande grupo. Clique em Começo para executar a verificação.
Em seguida, digite a URL de destino no Target: campo e clique em Começo para executar a verificação. O
seguinte imagem mostra criação de w3af para escanear www.thesecurityblogger.com:
w3af mostrará o status de uma varredura ativa no Log janela. w3af tentará predizer o período de tempo necessário para completar a análise.
Para ver os resultados de uma varredura, clique no Resultados guia. Resultados proporcionará o foram identificados os detalhes do que possível vulnerabilidades. O Explorar guia vai mostrar as possíveis exploits baseados nas vulnerabilidades descobertas.
Capítulo 3
w3af permite aos usuários explorar vulnerabilidades identificadas durante a fase de auditoria. Como vulnerabilidades são encontrados, eles são armazenados em locais específicos da base de
conhecimento,
a partir da qual explorar plugins podem ler e usar essa informação para explorar o
vulnerabilidade. Se a exploração for bem sucedido, você vai ter um shell no sistema de destino. O imagem seguinte mostra www.ntew3af explorando a dayShell vulnerabilidade em
www.thesecurityblogger.com.
Há um monte mais recursos úteis no conjunto de ferramentas w3af. Você pode aprender mais em
http://w3af.org/.