Kaip rasti tinklo serverio pažeidžiamumus naudojant „Nikto Scanner“

 NEMOKAMAI nuskaitykite savo interneto serverį, ar nėra pažeidžiamumų, netinkamos konfigūracijos naudodami „Nikto“ skaitytuvą


97 proc. taikymo išbandė Pasitikėjimo banga turėjo vieną ar daugiau trūkumų.

patikimos bangos pažeidžiamos programos

Ir 14 proc. ištirtų įsibrovimų įvyko dėl neteisingos konfigūracijos. Neteisinga konfigūracija gali sukelti rimtą riziką.

pasitikėjimo bangos veiksniai

Yra daugybė internetinių pažeidžiamumų skaitytuvų, skirtų jūsų internetinėms programoms išbandyti.

Tačiau jei norite išbandyti intraneto ar vidines programas, galite naudoti Nikto interneto skaitytuvas.

„Nikto“ yra atvirojo kodo skaitytuvas, kurį parašė Chrisas Sullo, ir galite naudoti su bet kokiais interneto serveriais („Apache“, „Nginx“, IHS, OHS, „Litespeed“ ir kt.). Skamba kaip puikus vidinis žiniatinklio serverio nuskaitymo įrankis.

„Nikto“ ieškojo daugiau 6700 daiktų aptikti neteisingą konfigūraciją, rizikingus failus ir kt., įskaitant kai kurias funkcijas;

  • Ataskaitą galite išsaugoti HTML, XML, CSV
  • Tai palaiko SSL
  • Nuskaitykite kelis serverio prievadus
  • Rasti padomenį
  • „Apache“ vartotojo sąrašas
  • Pasenusių komponentų tikrinimai
  • Aptikite automobilių stovėjimo aikšteles

Pradėkime nuo diegimo ir šio įrankio naudojimo

Tai galima įdiegti „Kali Linux“ ar kitose OS („Windows“, „Mac OSX“, „Redhat“, „Debian“, „Ubuntu“, „BackTrack“, „CentOS“ ir kt.), Palaikančiose „Perl“..

Šiame straipsnyje paaiškinsiu, kaip naudoti Kali Linux & „CentOS“.

Pastaba: nuskaitymas pateikia daug užklausų jūsų interneto serveriui.

„Nikto“ naudojimas „Kali Linux“

Kadangi jis yra įmontuotas Kali, jums nieko nereikia įdiegti.

  • Prisijunkite prie „Kali Linux“
  • Eikite į programas >> Pažeidžiamumo analizė ir spustelėkite nikto

kali-linux-nitko

Bus atidarytas terminalas, kuriame galėsite vykdyti nuskaitymą pagal savo interneto serverį.

Skenavimui atlikti galite naudoti kelis būdus / sintaksę. Tačiau greičiausias būdas tai padaryti;

# nikto –h $ žiniatinklio serveris

Nepamirškite pakeisti $ webserverurl su žiniatinklio serverio faktiniu IP arba FQDN.

[apsaugotas el. paštu]: ~ # „nikto-h thewebchecker.com“
– „Nikto“ v2.1.6
—————————————————————————
+ Tikslinis IP: 128.199.222.244
+ Tikslinis pagrindinio kompiuterio vardas: thewebchecker.com
+ Tikslinis uostas: 80
+ Pradžia: 2016-08-22 06:33:13 (GMT8)
—————————————————————————
+ Serveris: „Apache“ / 2.4.18 („Ubuntu“)
+ Serveris nutekina kodus per „ETag“, antraštė rasta faile /, laukai: 0x2c39 0x53a938fc104ed
+ „X-Frame-Options“ antraštės, neleidžiančios paspausti, nėra.
+ „X-XSS-Protection“ antraštė nėra apibrėžta. Ši antraštė gali nurodyti vartotojo agentui, kad apsaugotų nuo kai kurių XSS formų
+ „X-Content-Type-Options“ antraštė nenustatyta. Tai gali leisti vartotojo agentui pateikti svetainės turinį kitaip, nei MIME
+ Nerasta jokių CGI katalogų (naudokite „-C all“, kad priverstinai patikrintumėte visus galimus skirtukus)
+ Leidžiami HTTP metodai: GET, HEAD, POST, OPTIONS
+ Rasta nedažna antraštė „x-ob_mode“, kurios turinys: 1
+ OSVDB-3092: / manual /: rastas žiniatinklio serverio vadovas.
+ OSVDB-3268: / rankinis / vaizdai /: Rasta katalogų indeksavimas.
+ OSVDB-3233: / icons / README: Rasta „Apache“ numatytasis failas.
+ / phpmyadmin /: rastas phpMyAdmin katalogas
+ 7596 užklausos: 0 klaidų ir 10 elementų, praneštų apie nuotolinį pagrindinį kompiuterį
+ Pabaigos laikas: 2016-08-22 06:54:44 (GMT8) (1291 sek.)
—————————————————————————
+ Išbandytas 1 kompiuteris

Kaip matote aukščiau, nuskaitymas prieštarauja numatytai „Apache 2.4“ konfigūracijai ir yra daug elementų, į kuriuos reikia atkreipti dėmesį.

  • „Clickjacking Attack“
  • MIME tipo sauga

Galite kreiptis į mano „Apache Security“ & Grūdinimo vadovas norint juos ištaisyti.

„Nikto“ naudojimas „CentOS“

  • Prisijunkite prie „CentOS“ ar bet kurios „Linux“ pagrįstos OS
  • Atsisiųskite naujausią versiją iš Github naudojant wget

wget https://github.com/sullo/nikto/archive/master.zip .

  • Ištraukite naudodami komandą unzip

unzip master.zip

  • Tai sukurs naują aplanką pavadinimu „nikto-master“
  • Eikite į aplanką „nikto-master“>programa

CD / nikto-master / programa

Vykdyti nikto.pl su tiksliniu domenu

Pastaba: galite gauti šį įspėjimą.

+ ĮSPĖJIMAS: JSON modulio: PP nėra. – Negalima naudoti „Savedir“ ir pakartojimo funkcijų.

Jei gaunate šį įspėjimą, tada turite įdiegti „Perl“ modulį taip.

# yum install perl-CPAN *

Įdiegę vykdykite „nikto“ ir turėtų būti gerai.

Šį kartą atliksiu nuskaitymą prieš „Nginx“ žiniatinklio serverį, kad pamačiau, kaip jis veikia.

./nikto.pl -h 128.199.222.244

nikto-nginx

Taigi, kaip matote numatytąjį „Nginx“, interneto serverio konfigūracija taip pat yra pažeidžiama, ir šis saugos vadovas padės jums jas sušvelninti.

Eik į priekį ir pažaisk su „Nikto“ programine įranga. Jei tau įdomu sužinoti daugiau, patikrink tai įsilaužimo ir įsiskverbimo bandymo kursas.

Jeffrey Wilson Administrator
Sorry! The Author has not filled his profile.
follow me
    Like this post? Please share to your friends:
    Adblock
    detector
    map