Scans site para vulnerabilidades rápida e fácil com OWASP-ZAP
Hoje vamos dar uma olhada nas verificações de vulnerabilidade do site
rápida e fácil com o Proxy OWASP Zed Attack, ou "OWASP ZAP" para breve.
Introdução e Configuração
OWASP ZAP é uma aplicação web ferramenta de testes de penetração que tem algumas características grandes. É um scanner muito fácil de usar que lhe permite fazer verificações de segurança website manuais ou automáticas. Neste tutorial, vamos aprender como usar o recurso de ataque automático.
Para este tutorial iremos usar Kali Linux e Metasploitable 2 máquinas virtuais.
Metasploitable 2 é propositadamente máquina virtual vulnerável que
contém toneladas de vulnerabilidades de encontrar e explorar. Eu apenas usei o VMware Player para este tutorial rodando em um host Windows 7.
- Baixe ambas as máquinas virtuais e abri-los em VMWare jogador.
- Username e senha Kali Linux é root / admin
- Username e senha Metasploitable é msfadmin / msfadmin
Antes de começar e, como sempre, nunca use quaisquer ferramentas de
segurança para examinar ou testar uma rede que você não possui ou tem
permissão para fazê-lo. Também não coloque Metasploitable 2 em um sistema que tem livre acesso à internet, pois é muito vulnerável!
Tutorial Varredura automática de Segurança
1. Após a inicialização Metasploitable e efetuar o login, executar o comando "ifconfig" para obter o endereço IP do sistema.
2. Iniciar Kali Linux, que irá arrancar para a interface gráfica do usuário.
3. Iniciar OWASP ZAP:
No menu Kali Linux, você pode encontrar OWASP ZAP no menu superior de
segurança de dez (Se ele não estiver lá, atualização para a versão mais
recente do Kali):
OWASP ZAP vai abrir para o menu principal.
4. Agora, entrada simples endereço IP do sistema Metasploitable
(192.168.1.133 no meu caso) para o 'URL para atacar' caixa e selecione
"Attack":
É isso aí, OWASP ZAP irá, em seguida, começar a aranha o site:
Ele também irá listar todos os problemas de segurança que encontrar e colocá-los sob a guia "Alerts". Ao clicar na guia irá mostrar os seguintes alertas:
Uau, isso é um monte de alertas! Cada pasta contém diferentes tipos de problemas de segurança. Para este tutorial, vamos apenas vá para a pasta "Path Traversal".
Clique para expandi-lo.
Vá em frente e clique no primeiro alerta:
No lado direito você verá uma explicação sobre a questão:
Ele é marcado como uma bandeira "alta" de advertência do nível vermelho. OWASP ZAP, em seguida, explica o erro:
"The Path Traversal técnica de ataque permite a um atacante acesso a arquivos, diretórios e comandos que potencialmente residam fora do diretório raiz do documento web. Um atacante pode manipular uma URL de tal forma que o site irá executar ou revelar o conteúdo de arquivos arbitrários em qualquer lugar no servidor web. Qualquer dispositivo que expõe uma interface baseada em HTTP é potencialmente vulnerável a Path Traversal ...
O ataque mais básico Path Traversal usa o "../" sequência de caracteres especiais para alterar a localização recurso solicitado no URL. Embora a maioria dos servidores web popular vai impedir que esta técnica de escapar a raiz do documento web, codificações suplentes do seqüência "../" pode ajudar a contornar os filtros de segurança. Estas variações método incluem Unicode de codificação válidos e inválidos ("..% u2216" ou "..% c0% af") do carácter barra, caracteres barra invertida (".. \") em servidores baseados no Windows, URL codificada caracteres "% 2e% 2e% 2f"), e codificação dupla URL ("..% 255c") do carácter barra invertida ... "
Basicamente, isto significa que podemos exibir arquivos ou pastas no servidor web usando apenas uma seqüência especial. E OWASP ZAP nos dá exatamente o comando para entrar:
O comando acima irá listar uma página da Web no servidor Metasploitable.
Se entrarmos esta URL em um navegador da web em nosso sistema de Kali,
ele irá para o servidor Metasploitable e puxar para cima um determinado
página da Web, a página "=?" Parte seguido pela página para mostrar.
A página solicitada pela indicação é "% 2fetc% 2fpasswd".
Agora, isso pode não parecer muito, mas se você estiver familiarizado
com o Linux, o comando torna-se "/ etc / passwd", que é o local do
arquivo de senha do servidor!
Digitando este comando no navegador da web em Kali (usando o seu endereço IP Metasploitable) irá retornar esta:
Você vê o que parece ser uma interface de controle página web normal,
mas se você olhar na janela central você vê esta informação:
root: x: 0: 0: root: / root: / bin / daemon bash: x: 1: 1: daemon: /
usr / sbin: / bin / sh bin: x: 2: 2: bin: / bin: / sys bin / sh: X: 3:
3: SYS: / dev: / bin / sh sincronização: x: 4: 65534: sincronização: /
bin: / bin / jogos de sincronização: x: 5: 60: Jogos: / usr / jogos: /
bin / homem sh: x: 6: 12: man: / var / cache / man: / bin / sh lp: x: 7:
7: lp: / var / spool / lpd: / bin / mail sh: x: 8: 8: mail: / var /
mail: / bin / sh notícia: x: 9: 9: news: / var / spool / news: / bin /
sh uucp: x: 10: 10: uucp: / var / spool / uucp: / bin / proxy sh: x: 13:
13: proxy: / bin: / bin / sh www-data: x: 33: 33: www-data: / var /
www: bin backup / / sh : x: 34: 34: backup: / var / backups: bin lista /
/ sh: x: 38: 38: Mailing List Manager: / var / lista: / bin / sh irc:
x: 39: 39: ircd: / mosquitos / bin / sh:: var / run / ircd x: 41: 41:
Gnats Bug-Reporting System (admin): / var / lib / mosquitos: / bin / sh
ninguém: x: 65534: 65534: ninguém: / inexistente : / bin / sh libuuid:
x: 100: 101 :: / var / lib / libuuid: / bin / sh dhcp: x: 101: 102 :: /
inexistente: / bin / false syslog: x: 102: 103 :: / home / syslog: / bin
/ false klog: x: 103: 104 :: / home / klog: / bin / false sshd: x: 104:
65534 :: / var / run / sshd: / usr / sbin / nologin msfadmin : x: 1000:
1000: msfadmin ,,,: / home / msfadmin: / bin / bind bash: x: 105: 113
:: / var / cache / bind: / bin / false postfix: x: 106: 115 :: / var /
spool / postfix: / bin / false ftp: x: 107: 65534 :: / home / ftp: / bin
/ false postgres: x: 108: 117: administrador PostgreSQL ,,,: / var /
lib / postgresql: / bin / mysql bash: x: 109: 118: Servidor MySQL ,,,: /
var / lib / mysql: / bin / false tomcat55: x: 110: 65534 :: / usr /
share / tomcat5.5: / bin / false distccd: x: 111: 65534 :: /: / bin /
false usuário: x: 1001: 1001: apenas um usuário, 111 ,,: / home / user: /
bin / serviço bash: x: 1002: 1002 :, ,,: / home / serviço: / bin /
telnetd bash: x: 112: 120 :: / inexistente: / bin / false proftpd: x:
113: 65534 :: / var / run / proftpd: / bin / false statd: x: 114: 65534
:: / var / lib / NFS: / bin / false snmp: x: 115: 65534 :: / var / lib /
SNMP: / bin / false
O conteúdo do arquivo de senha Linux - Obviamente não é algo que você deseja exibir na sua página!
Conclusão
Para cada alerta que OWASP-ZAP encontra, ele também inclui uma solução
para proteger o sistema contra a vulnerabilidade encontrada. Como pode ser visto abaixo:
Verificação automática é apenas uma característica da OWASP-ZAP, mas
você pode ver como é fácil nos encontrar e corrigir algumas
vulnerabilidades sérias muito rapidamente. OWASP-ZAP é uma grande ferramenta para ambos os testadores de penetração e programadores de software!
