Nástroje zabezpečení s otevřeným zdrojovým kódem
Nikto: Starý hlasitý webový skener, který stojí za uchování
Nikto je zkušený skener webového serveru z roku 2001, který nikdy nezemřel: kontroluje nebezpečné soubory, zastaralé řetězce softwarových bannerů, slabé stránky v konfiguraci a několik stovek obecných problémů, hlasitě a do písmene svého vlastního banneru. Není to moderní DAST – žádné vykreslování javascriptu, žádná logika pracovního postupu a jeho výsledky se čtou spíše jako seznam lomů než jako hodnocení rizik. Uchováváme si to tak, jak to je: jednopříkazové prozkoumání na úrovni serveru, jehož spuštění nic nestojí a občas se objeví něco, co všichni přehlédli.
Klíčové body
- Příkaz je jednořádkový: nikto -h target -o report.html, plus -Format csv nebo json, když výstup podává nástroj místo očí.
- Nikdy první, vždy po průzkumu: Nikto vyšle stovky požadavků rozpoznatelných jakýmkoli IDS; spustit, když je hlasitost známá jako přijatelná.
- Očekávejte falešně pozitivní výsledky hromadně: bannery se zastaralou verzí a obecné kontrolní zásahy jsou výzvy k ověření, nikoli nálezy, které je třeba rovnou hlásit.
- Hodnotné případy jsou skutečné: výchozí a nebezpečné soubory (adresáře .git, záložní archivy, stránky phpinfo), slabé stránky SSL/TLS, úniky hlaviček serveru: rychlé výhry, které levné skenování minou.
- Ladění s kategoriemi skenování rozsahů -T (0 nahrání souboru, 2 chybná konfigurace, 3 zveřejnění informací), takže test spustí pouze třídu, kterou potřebujete.
- Spárujte to se samostatnou kontrolou adresářů: Nikovo pokrytí je na úrovni serveru; zjišťování obsahu zůstává úkolem vyhrazeného nástroje.
- Mutační režim odhaduje názvy souborů ze známých jmen a neustále nachází staré servery, které nikdo znovu nezkontroloval, takže s ním zacházejte jako s rozsahem zapojení, nikoli jako výchozí.
- Rámování autorizace zůstává nudné a klíčové: spouštějte jej pouze proti hostitelům v rámci rozsahu, protože jeho otisk je nezaměnitelný a hlasitost přistává na monitorovacích panelech klienta.
Poznámka z terénu
Nikto stále nachází /server-status na krabicích, které nainstalovali moji hrdinové z dětství – a jeho nalezení stojí jeden požadavek. Kontrola se spustí až poté, co upozorníme klienta, jak budou vypadat jeho dashboardy.
Časté dotazy
Je Nikto ve srovnání s moderními skenery zastaralý?
Ve schopnostech ano, v užitečnosti přetrvává: pro chybné konfigurace na úrovni serveru, které moderní DAST ignoruje, si stále vydělává na udržení za nulové náklady.
Dá se to spustit tajně?
Ne, a to je záměrné: je to hlasité, a proto plány zapojení specifikují, kdy běží a kdo je předem informován.
Nikto nebo OWASP ZAP pro základní skenování webu?
Různé vrstvy: Nikto odstraňuje chybné konfigurace serveru, ZAP provádí skenování na úrovni aplikace; mnoho lidí běží oba, protože ani jeden nepokrývá jízdní pruh toho druhého.
Proč to nezkontrolovat ručně?
Manuální kontroly se škálují na několik hostitelů; klientský majetek složený z padesáti serverů se známým softwarem z roku 2000 je přesně to místo, kam patří Nikovo zametání jedním příkazem.
Jak Kinetikatech pomáhá s nástroje zabezpečení s otevřeným zdrojovým kódem
Řešili jsme to už stokrát: Profesionálové z testovací sady nástrojů mají skutečně nabité: skenery, sniffery, crackery a webové proxy vysvětlily způsob, jakým se používají při skutečných zakázkách – příkazy, příznaky, výstupy a kde každý sedí v metodice. Se službou Penetrační testy a Zabezpečení linuxových serverů získáte celý cyklus: posoudíme, nasadíme, nepřetržitě sledujeme a v případě potřeby zasáhneme do 30 minut.