Atvirojo kodo saugos įrankiai
Nikto: Garsus senas žiniatinklio skaitytuvas, kurį verta pasilikti
Nikto yra 2001 m. sukurtas veteranas žiniatinklio serverio skaitytuvas, kuris niekada nemirė: jis garsiai ir pagal savo reklamjuostės raidę tikrina, ar nėra pavojingų failų, pasenusių programinės įrangos reklamjuosčių, konfigūracijos trūkumų ir kelių šimtų bendrų problemų. Tai nėra modernus DAST – jokio javascript atvaizdavimo, jokios darbo eigos logikos, o jo rezultatai skaitomi kaip karjero sąrašas, o ne rizikos vertinimas. Mes išlaikome jį tokį, koks jis yra: vienos komandos serverio lygmens santūrus šlavimas, kurio paleidimas nieko nekainuoja ir kartais pasirodo kažkas, ko visi praleido.
Pagrindiniai punktai
- Komanda yra vienos eilutės: nikto -h target -o report.html, plius -Format csv arba json, kai išvestis pateikia įrankį, o ne akis.
- Niekada pirmas, visada po žvalgybos: Nikto paleidžia šimtus užklausų, kurias atpažįsta bet kuris IDS; paleiskite jį, kai žinoma, kad garsumas yra priimtinas.
- Tikėtis klaidingų teigiamų rezultatų masiškai: pasenusios versijos reklamjuostės ir bendri patikrinimo rezultatai raginami patikrinti, o ne apie radinius reikia pranešti.
- Reikšmės atvejai yra tikri: numatytieji ir pavojingi failai (.git katalogai, atsarginių kopijų archyvai, phpinfo puslapiai), SSL/TLS trūkumai, serverio antraštės nutekėjimas: greiti laimėjimai, kurių pigiai nuskaitoma.
- Derinimas naudojant -T apimčių nuskaitymo kategorijas (0 failų įkėlimas, 2 netinkama konfigūracija, 3 informacijos atskleidimas), kad bandymas būtų vykdomas tik jums reikalinga klasėje.
- Suporuokite jį su katalogų tikrinimu atskirai: Nikto aprėptis yra serverio lygis; turinio atradimas išlieka specialiu įrankiu.
- Mutacijos režimas atspėja failų pavadinimus pagal žinomus pavadinimus ir vis randa senus serverius, kurių niekas dar kartą nepatikrino, todėl traktuokite jį kaip įtraukimo, o ne numatytąjį.
- Prieigos kadravimas išlieka nuobodus ir labai svarbus: paleiskite jį tik su taikymo srities pagrindiniais kompiuteriais, nes jo piršto atspaudas yra neabejotinas, o garsumas patenka į kliento stebėjimo prietaisų skydelius.
Pastaba iš praktikos
Nikto vis dar randa /server-status dėžėse, kurias įrengė mano vaikystės herojai – ir jos radimas kainuoja vieną užklausą. Nuskaitymas vykdomas tik po to, kai įspėjame klientą, kaip atrodys jo prietaisų skydeliai.
Dažniausiai užduodami klausimai
Ar Nikto yra pasenęs, palyginti su šiuolaikiniais skaitytuvais?
Taip, naudingumas išlieka: dėl serverio lygio klaidingų konfigūracijų, kurių šiuolaikinė DAST nepaiso, ji vis tiek uždirba be jokių išlaidų.
Ar galima jį paleisti slaptai?
Ne, ir taip yra suprojektuota: jis yra garsus, todėl įtraukimo planuose nurodoma, kada jis pradedamas ir kam iš anksto pranešama.
Nikto arba OWASP ZAP pagrindiniam žiniatinklio nuskaitymui?
Skirtingi sluoksniai: Nikto nušluoja netinkamas serverio konfigūracijas, ZAP atlieka programos lygio nuskaitymą; daugelis žmonių bėga abu, nes nė vienas neuždengia kitos eismo juostos.
Kodėl gi ne tik patikrinti rankiniu būdu?
Rankiniai patikrinimai apima kelis pagrindinius kompiuterius; penkiasdešimties serverių su žinomu 2000-ųjų programine įranga klientų turtas yra būtent ten, kur priklauso Nikto vienos komandos valymas.
Kaip Kinetikatech padeda su atvirojo kodo saugos įrankiai
Jums nereikia tapti atvirojo kodo saugos įrankiai ekspertu: Testavimo įrankių rinkinio profesionalai iš tikrųjų yra įkrauti: skaitytuvai, snifferiai, krekeriai ir žiniatinklio įgaliotieji serveriai paaiškino, kaip jie naudojami realioms užduotims atlikti – komandos, vėliavėlės, išvestis ir kur kiekviena iš jų yra metodikoje. Būtent tam ir skirta Pratimų testai ir Linux serverių sauga: paleidimas, sutvirtinimas, stebėjimas ir budintis žmogus dieną ir naktį.