Odprtokodna varnostna orodja
Nikto: Glasen stari spletni skener, ki ga je vredno obdržati
Nikto je veteranski optični bralnik spletnih strežnikov iz leta 2001, ki ni nikoli umrl: preverja nevarne datoteke, zastarele nize pasic programske opreme, slabosti konfiguracije in več sto splošnih težav, glasno in do potankosti lastne pasice. To ni sodoben DAST – brez upodabljanja javascripta, brez logike poteka dela in njegovi rezultati se berejo kot seznam kamnoloma in ne kot ocena tveganja. Ohranjamo ga takšnega, kot je: preverjanje razumnosti na ravni strežnika z enim ukazom, ki ne stane nič za izvajanje in občasno prikaže nekaj, kar so vsi zamudili.
Ključne točke
- Ukaz je ena vrstica: nikto -h target -o report.html, plus -Format csv ali json, ko izhod poda orodje namesto oči.
- Nikoli prvi, vedno po izvidu: Nikto sproži na stotine zahtev, ki jih prepozna vsak IDS; zaženite, ko je znano, da je glasnost sprejemljiva.
- Pričakujte lažne pozitivne rezultate v velikem obsegu: pasice zastarele različice in generični zadetki preverjanja so pozivi za preverjanje, ne ugotovitve, ki jih je treba neposredno prijaviti.
- Primeri vrednosti so resnični: privzete in nevarne datoteke (imeniki .git, varnostni arhivi, strani phpinfo), slabosti SSL/TLS, uhajanje strežniških glav: hitre zmage, ki jih poceni skeniranje zgreši.
- Uglaševanje z -T obsega skeniranje kategorij (0 nalaganje datoteke, 2 napačna konfiguracija, 3 razkritje informacij), tako da preizkus izvaja samo razred, ki ga potrebujete.
- Združite ga z ločenim preverjanjem imenika: pokritost podjetja Nikto je na ravni strežnika; odkrivanje vsebin ostaja naloga namenskega orodja.
- Način mutacije ugiba imena datotek iz znanih imen in vedno znova išče stare strežnike, ki jih nihče ni ponovno preveril, zato ga obravnavajte kot obseg delovanja, ne privzetega.
- Uokvirjanje avtorizacije ostaja dolgočasno in ključno: zaženite ga samo proti gostiteljem v obsegu, ker je njegov prstni odtis nezamenljiv in glasnost pristane na odjemalčevih nadzornih ploščah.
Terenska beležka
Nikto še vedno najde /server-status na škatlah, ki so jih namestili moji junaki iz otroštva — in iskanje stane eno zahtevo. Skeniranje se izvede šele, ko naročnika opozorimo, kako bodo videti njegove nadzorne plošče.
Pogosta vprašanja
Ali je Nikto zastarel v primerjavi s sodobnimi skenerji?
Glede zmogljivosti da, glede uporabnosti ostaja: za napačne konfiguracije na ravni strežnika, ki jih moderni DAST ignorira, si še vedno zasluži ohranitev brez stroškov.
Ali ga je mogoče voditi prikrito?
Ne, in to je po zasnovi: je glasen, zato je v načrtih za sodelovanje določeno, kdaj poteka in komu je vnaprej povedano.
Nikto ali OWASP ZAP za osnovno spletno skeniranje?
Različni sloji: Nikto počisti napačne konfiguracije strežnika, ZAP skenira na ravni aplikacije; veliko ljudi teče z obema, ker nobeden ne pokriva voznega pasu drugega.
Zakaj ne bi preprosto preverili ročno?
Ročna preverjanja obsegajo nekaj gostiteljev; odjemalsko posestvo s petdesetimi strežniki s programsko opremo znanega imena 2000s je natanko tisto, kamor sodi Niktovo brisanje z enim ukazom.
Kako Kinetikatech pomaga s odprtokodna varnostna orodja
Predlog je enostaven: Strokovnjaki z orodjem za preskušanje dejansko še naprej nalagajo: skenerji, snifferji, krekerji in spletni posredniki so razložili, kako se uporabljajo pri resničnih dogodkih – ukazi, zastavice, izhodi in mesto vsakega v metodologiji. Zaverejte si storitve Teste prodiranja in Varnost strežnikov Linux in imete popolno pokritje: serijozna evaluacija, čista implementacija, neprekinjen monitoring.