Kako skenirati web stranice u potrazi za mogućim sigurnosnim propustima pomoću Vege na Kali Linuxu

Odbijanje hakerskog napada jedna je od najvažnijih odgovornosti administratora sustava. Ovo je posebno potrebno za web stranice koje sadrže osjetljive podatke o klijentima i velikom broju korisnika. Stoga je važno da administrator sustava poduzme proaktivne mjere kako bi pronašao i popravio ranjivosti na svojim web stranicama.

Jedan alat koji može skenirati web stranice u potrazi za sigurnosnim propustima je Vega Vulnerability Scanner. Ovo je besplatan softver za web testiranje otvorenog koda koji je razvila sigurnosna tvrtka Subgraph. Ovaj alat ima neke zanimljive značajke poput proxy skenera, ali članak će se usredotočiti na aspekt automatiziranog sigurnosnog testiranja koji može pomoći u pronalaženju i provjeri valjanosti SQL ubacivanja, ranjivosti skriptiranja na različitim mjestima (XSS) , slučajnog otkrivanja osjetljivih informacija i mnogih drugih ranjivosti.

• Napadi SQL Injection i prevencija u ASP.NET-u

Postoje slični skeneri web aplikacija Vegi, kao što su Portswiggerov Burp Suite Scanner i Netsparkerov Security Scanner koji oba imaju napredne skenere ranjivosti, ali Vegin skener može obavljati mnoge iste zadatke, što je potpuno besplatno. Vegin skener pomaže u pronalaženju i razumijevanju ozbiljnosti ranjivosti web aplikacija jasnim i konciznim prikazom korisnih resursa u svakom skeniranju.

Kako koristiti Vegu za skeniranje web stranica u potrazi za sigurnosnim propustima

• Korak 1: Instalirajte Vegu
• Korak 2: Pokrenite Vegu
• Korak 3: Konfigurirajte Vegu
  • Vega proxy HTTP zahtjev (izborno)
  • Koristite Torov korisnički agent (izborno)
  • Prosječni HTTP zahtjev (nije obavezno)
• Korak 4: Skenirajte web stranicu Vegom
• Korak 5: Protumačite Veginu objavu

Korak 1: Instalirajte Vegu

Budući da je Vega Vulnerability Scanner obično unaprijed instaliran na većini verzija Kali Linuxa, trebali biste koristiti Kali sustav. Ako niste sigurni ima li vaš Kali sustav postavljenu Vega ili ne, možete pokrenuti naredbu apt-get kao što je prikazano u prozoru terminala ispod. Korisnik će primiti poruku da je instaliran ako jest, a ako nije, koristite ovu naredbu za instalaciju.

apt-get ažuriranje && apt-get instaliraj vega

Ako koristite BlackArch, možete instalirati Vega Vulnerability Scanner s donjom naredbom. BlackArch ne koristi APT upravitelj paketa, pa bi korisnici trebali koristiti Pacman.

pacman -S vega

Korak 2: Pokrenite Vegu

U Kali Linuxu, alati su automatski organizirani u kategorije, pa kliknite na " Aplikacije ", zatim zadržite pokazivač iznad kategorije " Analiza web aplikacija " i kliknite na " Vega ". Ovisno o upotrebi Kali verzija kao što je XFCE, izbornik Aplikacije može izgledati nešto drugačije. Također možete jednostavno tražiti " Vega " sa zaslona " Prikaži aplikacije " .

Korak 3: Konfigurirajte Vegu

Nakon što prvi put pokrenete aplikaciju, trebali biste pogledati dostupne opcije. U gornjem lijevom kutu kliknite izbornik " Prozor ", zatim pogledajte " Postavke ".

Vega proxy HTTP zahtjev (izborno)

Ako želite anonimno skenirati Vegu i proxy sve veze, odaberite opciju " Enable SOCKS proxy " pod Općenito i unesite proxy adresu i port. Ako koristite Tor, unesite zadanu Tor adresu i port (127.0.0.1:9050). To će pomoći sakriti izvor skeniranja. Ako koristite besplatnu ili premium proxy uslugu, odaberite željenu adresu i port.

Koristite Torov korisnički agent (izborno)

Ako odlučite skenirati Vegu putem Tor-a, također možete razmisliti o promjeni Veginog korisničkog agenta u korisnički agent preglednika Tor. Ovo će pomoći korisnicima da pristupe nekim (ali ne svim) stranicama koje blokiraju Tor HTTP zahtjeve.

Za izmjenu Vega korisničkog agenta kliknite na kategoriju " Skener " i unesite korisnički agent Tor Browser pored User-Agenta, zatim kliknite " Primijeni " i " U redu " za spremanje promjena. Ispod je trenutni Tor Browser korisnički agent od veljače 2018.

Mozilla/5.0 (Windows NT 6.1; rv:52.0) Gecko/20100101 Firefox/52.0

Korisnički agent Tor Browsera mijenjat će se sa svakim većim ažuriranjem Tor Browsera. Da biste pronašli najnoviji korisnički agent, otvorite nedavni Tor Browser i unesite about:config u URL traku. Ako vidite upozorenje upozorenja, odaberite " Prihvaćam rizik ", zatim unesite useragent.override u traku za pretraživanje.

• Savjeti "About: Config" poboljšavaju preglednik Firefox

Dupli klik na unos prikazuje se, dopuštajući korisniku kopiranje niza korisničkog agenta. Alternativno, također možete kliknuti desnom tipkom miša i odabrati " Kopiraj ".

Prosječni HTTP zahtjev (nije obavezno)

Još jedna stvar u izborniku Skener koju bi korisnici mogli promijeniti je opcija Maksimalni broj zahtjeva za slanje u sekundi . Prema zadanim postavkama, softver je postavljen na 25 zahtjeva/sekundi.

Ovisno o scenariju, ovaj zahtjev po sekundi može biti previše ili premalo. Pod pretpostavkom da imate dopuštenje za skeniranje web stranice Vegom, deset zahtjeva u sekundi vjerojatno je dobar broj za početak. Za stranice koje posjedujete, 100 zahtjeva u sekundi može biti prikladnije. Potreban iznos u potpunosti ovisi o korisniku.

Nećete primijetiti povećanje procesorske snage korištenjem većeg broja zahtjeva u sekundi, stoga je sigurno taj broj postaviti veći. Vega nije DDoS alat, internetska propusnost i propusnost web stranice automatski će smanjiti zahtjeve.

• Najjednostavniji način povećanja brzine i propusnosti interneta izravno u sustavu Windows

Postavke slušača u " Proxyju " su opcije koje nisu povezane sa skenerima. Opcija " Debug " u odjeljku Scanner namijenjena je programerima Vege.

Korak 4: Skenirajte web stranicu Vegom

Sada kada je Vega instalirana i konfigurirana, možete početi skenirati stranicu. Za početak skeniranja otvorite izbornik " Skeniraj " u gornjem lijevom kutu i kliknite na " Pokreni novo skeniranje ". Pojavit će se prozor Select a Scan Target , unesite URL koji želite skenirati u okvir ispod Scan Target, zatim kliknite " Next ".

Vega ima desetke modula dizajniranih za pronalaženje raznih uobičajenih ranjivosti web poslužitelja kao što su SQL, XSS i XML injection ranjivosti. Ako želite omogućiti sve module za skeniranje, samo ih sve odaberite i kliknite " Završi " za početak skeniranja web stranice. Ako nije, poništite odabir modula koji vas ne zanimaju pri prvom pokretanju.

Napomena: Ako nema potrebe za podešavanjem opcija Authentication Options ili Parameters , samo odaberite " Finish " nakon odabira modula.

Ovo skeniranje može potrajati od 2 do 8 sati ovisno o veličini stranice i prethodno postavljenim zahtjevima u sekundi. Korisnici znaju da je skeniranje počelo kada se web mjesto pojavi na kartici Upozorenja o skeniranju . Nakon što skeniranje završi, primit ćete detaljno izvješće o pronađenim sigurnosnim propustima.

Korak 5: Protumačite Veginu objavu

Nakon što skeniranje završi, Vega će predstaviti jasan i koncizan sažetak upozorenja. Ako Vega prijavi "High" ranjivosti, korisnici ne trebaju paničariti. Vegini moduli su vrlo osjetljivi i ponekad generiraju lažne rezultate za ranjivosti koje možda zapravo i ne postoje. Ponekad to nije loše. Stoga biste trebali pregledati izvješće i ručno provjeriti svako upozorenje.

Vega odlično radi objašnjavajući što svako upozorenje znači, kako utječu na stranicu i kako popraviti ranjivosti. Također uključuje korisne reference koje mogu pomoći korisnicima da bolje razumiju kako se nositi s ranjivostima. Klikom na jedno od upozorenja prikazat će se mnoštvo korisnih informacija.

Vega je izvrstan alat koji pomaže istraživačima sigurnosti da bolje razumiju sigurnosne procjene Pentesta. Širok izbor modula omogućuje čak i novim korisnicima da duboko prouče potencijalne sigurnosne rizike i procijene njihovu ozbiljnost za web stranice. Svatko tko je zainteresiran za poboljšanje sigurnosti web stranice i poboljšanje svojih vještina web hakiranja će voljeti Vegu i njenu jednostavnost korištenja.

Vidi više:

• Sigurnosne ranjivosti - osnovno razumijevanje
• Pronađite sigurnosne propuste na bilo kojoj web stranici uz Nikto
• Oracle krpa 101 sigurnosnu ranjivost