Bagaimana menemukan Kerentanan Server Web dengan Nikto Scanner

 Pindai server web Anda untuk mengetahui kerentanan, kesalahan konfigurasi secara GRATIS dengan pemindai Nikto


97% aplikasi diuji oleh Trustwave memiliki satu atau lebih kelemahan.

trustwave-rentan-aplikasi

Dan 14% intrusi diselidiki karena kesalahan konfigurasi. Kesalahan konfigurasi dapat menyebabkan risiko serius.

faktor-faktor kepercayaan

Ada sejumlah pemindai kerentanan online untuk menguji aplikasi web Anda di Internet.

Namun, jika Anda ingin menguji aplikasi Intranet atau aplikasi internal, maka Anda dapat menggunakannya Nikto pemindai web.

Nikto adalah pemindai open source yang ditulis oleh Chris Sullo, dan Anda dapat menggunakannya dengan server web apa pun (Apache, Nginx, IHS, OHS, Litespeed, dll.). Kedengarannya seperti alat in-house yang sempurna untuk pemindaian server web.

Nikto memindai lebih 6700 item untuk mendeteksi kesalahan konfigurasi, file berisiko, dll. dan beberapa fitur termasuk;

  • Anda dapat menyimpan laporan dalam HTML, XML, CSV
  • Ini mendukung SSL
  • Memindai banyak port di server
  • Temukan subdomain
  • Enumerasi pengguna Apache
  • Memeriksa komponen yang sudah usang
  • Mendeteksi lokasi parkir

Mari kita mulai dengan instalasi dan cara menggunakan alat ini

Ini dapat diinstal pada Kali Linux atau OS lain (Windows, Mac OSX, Redhat, Debian, Ubuntu, BackTrack, CentOS, dll.) Yang mendukung Perl.

Pada artikel ini, saya akan menjelaskan cara menggunakannya Kali Linux & CentOS.

catatan: melakukan pemindaian membuat banyak permintaan ke server web Anda.

Menggunakan Nikto di Kali Linux

Karena ini bawaan di Kali, Anda tidak perlu menginstal apa pun.

  • Masuk ke Kali Linux
  • Buka Aplikasi >> Analisis Kerentanan dan klik nikto

Kali-linux-nitko

Ini akan membuka terminal tempat Anda dapat menjalankan pemindaian terhadap server web Anda.

Ada beberapa cara / sintaks yang dapat Anda gunakan untuk menjalankan pemindaian. Namun, cara tercepat untuk dilakukan adalah;

# nikto –h $ webserverurl

Jangan lupa untuk mengubah $ webserverurl dengan IP atau FQDN server server aktual Anda.

[dilindungi email]: ~ # nikto-h thewebchecker.com
– Nikto v2.1.6
—————————————————————————
+ IP Target: 128.199.222.244
+ Target Hostname: thewebchecker.com
+ Port Target: 80
+ Waktu Mulai: 2016-08-22 06:33:13 (GMT8)
—————————————————————————
+ Server: Apache / 2.4.18 (Ubuntu)
+ Server membocorkan inode melalui ETags, header ditemukan dengan bidang file /,: 0x2c39 0x53a938fc104ed
+ Header X-Frame-Options anti-clickjacking tidak ada.
+ Header X-XSS-Protection tidak ditentukan. Header ini dapat memberi petunjuk kepada agen pengguna untuk melindungi terhadap beberapa bentuk XSS
+ Header X-Content-Type-Options tidak diatur. Ini dapat memungkinkan agen pengguna untuk merender konten situs dengan cara yang berbeda dengan tipe MIME
+ Tidak ditemukan Direktori CGI (gunakan ‘-C semua’ untuk memaksa memeriksa semua dir yang mungkin)
+ Metode HTTP yang Diizinkan: DAPATKAN, KEPALA, POST, PILIHAN
+ Header yang tidak umum ‘x-ob_mode’ ditemukan, dengan konten: 1
+ OSVDB-3092: / manual /: manual server web ditemukan.
+ OSVDB-3268: / manual / images /: Pengindeksan direktori ditemukan.
+ OSVDB-3233: / icons / README: File default Apache ditemukan.
+ / phpmyadmin /: direktori phpMyAdmin ditemukan
+ 7596 permintaan: 0 kesalahan dan 10 item dilaporkan pada host jarak jauh
+ Waktu Berakhir: 2016-08-22 06:54:44 (GMT8) (1291 detik)
—————————————————————————
+ 1 host diuji

Seperti yang Anda lihat pemindaian di atas bertentangan dengan konfigurasi default Apache 2.4, dan ada banyak item yang perlu diperhatikan.

  • Serangan Clickjacking
  • Jenis Keamanan MIME

Anda dapat merujuk Keamanan Apache saya & Panduan Pengerasan untuk memperbaiki ini.

Menggunakan Nikto di CentOS

  • Masuk ke CentOS atau OS berbasis Linux apa pun
  • Unduh versi terbaru dari Github menggunakan wget

wget https://github.com/sullo/nikto/archive/master.zip .

  • Ekstrak menggunakan perintah unzip

unzip master.zip

  • Ini akan membuat folder baru yang disebut “nikto-master”
  • Masuk ke dalam folder nikto-master>program

cd / nikto-master / program

Menjalankan nikto.pl dengan domain target

catatan: Anda mungkin mendapatkan peringatan berikut.

+ PERINGATAN: Modul JSON :: PP hilang. -Simpanir dan fungsi replay tidak dapat digunakan.

Jika Anda mendapatkan peringatan ini, maka Anda perlu menginstal modul Perl dengan yang berikut ini.

# yum install perl-CPAN *

Setelah terinstal jalankan nikto dan harus baik-baik saja.

Kali ini, saya akan menjalankan pemindaian terhadap server web Nginx untuk melihat kinerjanya.

./nikto.pl -h 128.199.222.244

nikto-nginx

Jadi seperti yang Anda lihat Nginx default, konfigurasi server web juga rentan dan panduan keamanan ini akan membantu Anda untuk memitigasi mereka.

Silakan bermain-main dengan perangkat lunak Nikto dan jika tertarik untuk mempelajari lebih lanjut maka periksa ini peretasan dan pengujian penetrasi saja.

Jeffrey Wilson Administrator
Sorry! The Author has not filled his profile.
follow me
    Like this post? Please share to your friends:
    Adblock
    detector
    map