Strumenti di sicurezza open source
Nikto: il vecchio e rumoroso scanner web che vale la pena conservare
Nikto è il veterano scanner per server web del 2001 che non è mai morto: controlla file pericolosi, stringhe di banner software obsoleti, punti deboli di configurazione e diverse centinaia di problemi generici, ad alta voce e alla lettera del suo stesso banner. Non è un DAST moderno: nessun rendering JavaScript, nessuna logica del flusso di lavoro e i suoi risultati sembrano un elenco di cave piuttosto che una valutazione del rischio. Lo manteniamo per quello che è: un controllo di sanità mentale a livello di server con un solo comando che non costa nulla da eseguire e occasionalmente rivela qualcosa che a tutti è sfuggito.
Punti chiave
- Il comando è una riga: nikto -h target -o report.html, più -Formatta csv o json quando l'output alimenta uno strumento anziché occhi.
- Mai prima, sempre dopo la ricognizione: Nikto lancia centinaia di richieste riconoscibili da qualsiasi IDS; eseguirlo quando si sa che il volume è accettabile.
- Aspettatevi falsi positivi in massa: i banner di versioni obsolete e i riscontri di controllo generici sono richieste di verifica, non risultati da segnalare direttamente.
- I casi di valore sono reali: file predefiniti e pericolosi (directory .git, archivi di backup, pagine phpinfo), punti deboli SSL/TLS, perdite di intestazioni del server: vittorie rapide che le scansioni economiche non riescono a cogliere.
- Ottimizzazione con le categorie di scansione degli ambiti -T (0 caricamento di file, 2 configurazione errata, 3 divulgazione di informazioni) in modo che un test esegua solo la classe necessaria.
- Abbinalo al controllo della directory separatamente: la copertura di Nikto è a livello di server; la scoperta dei contenuti rimane il lavoro di uno strumento dedicato.
- La modalità di mutazione indovina i nomi dei file da nomi noti e continua a trovare vecchi server che nessuno ha ricontrollato, quindi trattala come con ambito di coinvolgimento, non come predefinita.
- L'inquadramento dell'autorizzazione rimane noioso e cruciale: eseguilo solo su host compresi nell'ambito, perché la sua impronta digitale è inconfondibile e il volume arriva sui dashboard di monitoraggio del cliente.
Nota dal campo
Nikto trova ancora /server-status sui box installati dai miei eroi d'infanzia - e trovarlo costa una richiesta. La scansione viene eseguita solo dopo aver avvisato il cliente su come appariranno i suoi dashboard.
Domande frequenti
Nikto è obsoleto rispetto agli scanner moderni?
In termini di capacità sì, in termini di utilità persiste: per configurazioni errate a livello di server che il moderno DAST ignora, si guadagna comunque il mantenimento a costo zero.
Può essere eseguito di nascosto?
No, e questo è previsto dalla progettazione: è rumoroso, motivo per cui i piani di coinvolgimento specificano quando viene eseguito e chi viene informato in anticipo.
Nikto o OWASP ZAP per la scansione web di base?
Diversi livelli: Nikto elimina le configurazioni errate del server, ZAP esegue la scansione a livello di applicazione; molte persone corrono entrambe perché nessuna delle due copre la corsia dell'altra.
Perché non controllare semplicemente manualmente?
I controlli manuali si estendono a pochi host; un patrimonio client di cinquanta server con software noto degli anni 2000 è esattamente il luogo in cui appartiene l'esplorazione a comando singolo di Nikto.
Come Kinetikatech aiuta con strumenti di sicurezza open source
A essere onesti, la maggior parte dei team arriva da noi dopo averci provato da sola: I professionisti degli strumenti di test continuano a caricarli: scanner, sniffer, cracker e proxy web hanno spiegato il modo in cui vengono utilizzati negli impegni reali: comandi, flag, output e dove ciascuno di essi si trova in una metodologia. Il nostro servizio Penetration test e Sicurezza server Linux esiste proprio per evitarLe di imparare strumenti di sicurezza open source nel modo peggiore: pensiamo noi alla configurazione, al monitoraggio e alle sorprese delle 3 di notte.