เครื่องมือรักษาความปลอดภัยโอเพ่นซอร์ส
Nikto: เครื่องสแกนเว็บรุ่นเก่าที่คุ้มค่าแก่การรักษา
Nikto เป็นเครื่องสแกนเว็บเซิร์ฟเวอร์รุ่นเก๋าตั้งแต่ปี 2544 ที่ไม่เคยตายตัว โดยจะตรวจสอบไฟล์อันตราย สตริงแบนเนอร์ซอฟต์แวร์ที่ล้าสมัย จุดอ่อนในการกำหนดค่า และปัญหาทั่วไปหลายร้อยปัญหา ด้วยเสียงและตัวอักษรของแบนเนอร์ของตัวเอง ไม่ใช่ DAST สมัยใหม่ — ไม่มีการเรนเดอร์จาวาสคริปต์ ไม่มีตรรกะเวิร์กโฟลว์ และผลลัพธ์ของมันก็เหมือนกับรายการเหมืองมากกว่าการประเมินความเสี่ยง เรารักษามันไว้ตามที่เป็นอยู่: การกวาดล้างสติระดับเซิร์ฟเวอร์ด้วยคำสั่งเดียวที่ไม่เสียค่าใช้จ่ายใด ๆ ในการทำงานและบางครั้งอาจกลายเป็นสิ่งที่ทุกคนพลาดไป
ประเด็นสำคัญ
- คำสั่งมีเพียงหนึ่งบรรทัด: nikto -h target -o report.html บวก -Format csv หรือ json เมื่อเอาต์พุตป้อนเครื่องมือแทน eyes
- ไม่เคยเป็นอย่างแรก เสมอหลังจากการลาดตระเวน: Nikto ยิงคำขอหลายร้อยคำขอที่ IDS ใด ๆ รู้จัก; เรียกใช้งานเมื่อรู้ว่าความดังเป็นที่ยอมรับได้
- คาดว่าจะพบผลบวกลวงจำนวนมาก: แบนเนอร์เวอร์ชันล้าสมัยและรายการตรวจสอบทั่วไปจะได้รับแจ้งให้ตรวจสอบ ไม่ใช่ผลการวิจัยที่จะรายงานโดยตรง
- กรณีมูลค่าเกิดขึ้นจริง: ไฟล์เริ่มต้นและเป็นอันตราย (ไดเร็กทอรี .git, ไฟล์สำรองข้อมูล, หน้า phpinfo), จุดอ่อน SSL/TLS, การรั่วไหลของส่วนหัวเซิร์ฟเวอร์: ชนะอย่างรวดเร็วโดยที่การสแกนราคาถูกพลาดไป
- การปรับแต่งด้วยหมวดหมู่การสแกนขอบเขต -T (การอัปโหลดไฟล์ 0 ไฟล์, การกำหนดค่าผิด 2 รายการ, การเปิดเผยข้อมูล 3 รายการ) เพื่อให้การทดสอบรันเฉพาะคลาสที่คุณต้องการเท่านั้น
- จับคู่กับการตรวจสอบไดเร็กทอรีแยกกัน: ความครอบคลุมของ Nikto อยู่ที่ระดับเซิร์ฟเวอร์ การค้นพบเนื้อหายังคงเป็นงานของเครื่องมือเฉพาะ
- โหมดการกลายพันธุ์จะคาดเดาชื่อไฟล์จากชื่อที่รู้จัก และค้นหาเซิร์ฟเวอร์เก่าๆ ที่ไม่มีการตรวจสอบซ้ำ ดังนั้นให้ถือว่าเป็นขอบเขตการมีส่วนร่วม ไม่ใช่ค่าเริ่มต้น
- กรอบการอนุญาตยังคงน่าเบื่อและสำคัญ: ให้รันกับโฮสต์ที่อยู่ในขอบเขตเท่านั้น เนื่องจากลายนิ้วมือนั้นไม่ผิดเพี้ยน และเสียงจะดังไปที่แดชบอร์ดการตรวจสอบของลูกค้า
บันทึกจากหน้างาน
Nikto ยังคงค้นหา /server-status บนกล่องที่ติดตั้งโดยฮีโร่ในวัยเด็กของฉัน — และการค้นหานั้นมีค่าใช้จ่ายหนึ่งคำขอ การสแกนจะทำงานหลังจากที่เราเตือนลูกค้าว่าแดชบอร์ดของพวกเขาจะมีหน้าตาเป็นอย่างไรเท่านั้น
คำถามที่พบบ่อย
Nikto ล้าสมัยเมื่อเทียบกับสแกนเนอร์สมัยใหม่หรือไม่?
ใช่ ในแง่ประโยชน์ใช้สอยยังคงมีอยู่: สำหรับการกำหนดค่าผิดพลาดระดับเซิร์ฟเวอร์ที่ DAST สมัยใหม่ละเลย ก็จะยังคงได้รับค่าคงเหลือเป็นศูนย์
มันสามารถทำงานอย่างลับๆ ได้หรือไม่?
ไม่ และนั่นเป็นเพราะการออกแบบ: มันเสียงดัง ซึ่งเป็นเหตุผลว่าทำไมแผนการมีส่วนร่วมจึงระบุว่าจะดำเนินการเมื่อใดและใครจะได้รับแจ้งล่วงหน้า
Nikto หรือ OWASP ZAP สำหรับการสแกนเว็บขั้นพื้นฐาน?
เลเยอร์ที่แตกต่างกัน: Nikto กวาดล้างการกำหนดค่าเซิร์ฟเวอร์ที่ไม่ถูกต้อง ZAP ทำการสแกนระดับแอปพลิเคชัน หลายคนวิ่งทั้งคู่เพราะไม่ครอบคลุมเลนของอีกฝ่าย
ทำไมไม่เพียงแค่ตรวจสอบด้วยตนเอง?
การตรวจสอบด้วยตนเองจะปรับขนาดเป็นโฮสต์บางส่วน ไคลเอนต์ไคลเอนต์ที่มีเซิร์ฟเวอร์ห้าสิบเครื่องพร้อมซอฟต์แวร์ชื่อดังในยุค 2000 นั้นเป็นที่ที่การกวาดล้างด้วยคำสั่งเดียวของ Nikto นั่นเอง
Kinetikatech ช่วยเรื่อง เครื่องมือรักษาความปลอดภัยโอเพ่นซอร์ส ได้อย่างไร
คุณไม่ควรต้องกลายเป็นผู้เชี่ยวชาญเรื่อง เครื่องมือรักษาความปลอดภัยโอเพ่นซอร์ส: ผู้เชี่ยวชาญด้านกล่องเครื่องมือทดสอบมักโหลดอยู่เสมอ: เครื่องสแกน เครื่องดมกลิ่น แครกเกอร์ และเว็บพรอกซี อธิบายวิธีการใช้งานเครื่องมือเหล่านี้ในภารกิจจริง เช่น คำสั่ง แฟล็ก เอาท์พุต และตำแหน่งที่แต่ละเครื่องมืออยู่ในระเบียบวิธี นั่นคือหน้าที่ของ การทดสอบการเจาะระบบและความปลอดภัยเซิร์ฟเวอร์ Linux พอดี ตั้งค่า เสริมความปลอดภัย เฝ้าระวัง และมีคนรับโทรตลอดวันทุกวัน