Açık Kaynak Güvenlik Araçları
Nikto: Saklamaya Değer, Gürültülü Eski Web Tarayıcısı
Nikto, 2001'den kalma, asla ölmeyen deneyimli bir web sunucusu tarayıcısıdır: tehlikeli dosyaları, güncelliğini kaybetmiş yazılım başlık dizilerini, yapılandırma zayıflıklarını ve yüzlerce genel sorunu yüksek sesle ve kendi başlığının harfiyen kontrol eder. Modern DAST değil; javascript oluşturma yok, iş akışı mantığı yok ve sonuçları bir risk değerlendirmesinden ziyade bir taş ocağı listesi gibi okunuyor. Bunu olduğu gibi saklıyoruz: Çalıştırılması hiçbir maliyet gerektirmeyen ve ara sıra herkesin gözden kaçırdığı bir şeyi ortaya çıkaran, tek komutlu, sunucu düzeyinde bir sağlık taraması.
Ana noktalar
- Komut bir satırdır: nikto -h target -o report.html, artı -Format csv veya json, çıktı gözler yerine bir aracı beslediğinde.
- Asla ilk önce değil, her zaman keşiften sonra: Nikto, herhangi bir IDS tarafından tanınabilen yüzlerce isteği başlatır; ses yüksekliğinin kabul edilebilir olduğu bilindiğinde çalıştırın.
- Toplu olarak hatalı pozitif sonuçlar bekleyin: Güncelliğini yitirmiş sürüm banner'ları ve genel kontrol isabetleri, doğrudan rapor edilecek bulgular değil, doğrulanması gereken istemlerdir.
- Değer durumları gerçektir: varsayılan ve tehlikeli dosyalar (.git dizinleri, yedekleme arşivleri, phpinfo sayfaları), SSL/TLS zayıflıkları, sunucu başlığı sızıntıları: ucuz taramaların kaçırdığı hızlı kazanımlar.
- -T kapsamlarıyla ayarlama, tarama kategorilerini (0 dosya yükleme, 2 yanlış yapılandırma, 3 bilgi açıklama) böylece testin yalnızca ihtiyacınız olan sınıfı çalıştırmasını sağlar.
- Dizin denetimiyle ayrı olarak eşleştirin: Nikto'nun kapsamı sunucu düzeyindedir; içerik keşfi özel bir aracın işi olmaya devam ediyor.
- Mutasyon modu, bilinen adlardan dosya adlarını tahmin eder ve kimsenin yeniden kontrol etmediği eski sunucuları bulmaya devam eder; bu nedenle, bunu varsayılan olarak değil, etkileşim kapsamlı olarak değerlendirin.
- Yetkilendirme çerçevesi sıkıcı ve hayati olmaya devam ediyor: Bunu yalnızca kapsam dahilindeki ana bilgisayarlara karşı çalıştırın çünkü parmak izi açıkça belli oluyor ve ses yüksekliği müşterinin izleme panellerine yansıyor.
Saha notu
Nikto hala çocukluk kahramanlarımın yerleştirdiği kutularda /server-status'u buluyor ve bunu bulmak bir talep gerektiriyor. Tarama ancak müşteriyi kontrol panellerinin nasıl görüneceği konusunda uyardıktan sonra çalışır.
Sık sorulan sorular
Nikto modern tarayıcılarla karşılaştırıldığında eski mi?
Yetenek açısından evet, kullanışlılık açısından varlığını sürdürüyor: modern DAST'ın göz ardı ettiği sunucu düzeyindeki yanlış yapılandırmalar için yine de sıfır maliyetle geçimini sağlıyor.
Gizlice çalıştırılabilir mi?
Hayır ve bu tasarım gereğidir: Gürültülüdür, bu nedenle katılım planlarında ne zaman çalışılacağı ve kime önceden haber verileceği belirtilir.
Temel web taraması için Nikto mu yoksa OWASP ZAP mı?
Farklı katmanlar: Nikto, sunucudaki yanlış yapılandırmaları tarar, ZAP uygulama düzeyinde tarama yapar; Birçok kişi her ikisini de koşuyor çünkü ikisi de diğerinin şeridini kapatmıyor.
Neden sadece manuel olarak kontrol etmiyorsunuz?
Manuel kontroller birkaç ana bilgisayara ölçeklenir; 2000'lerin bilinen adıyla bilinen yazılımlarına sahip elli sunucudan oluşan bir istemci mülkü, tam olarak Nikto'nun tek komutlu taramanın ait olduğu yerdir.
Kinetikatech açık kaynak güvenlik araçları konusunda nasıl yardımcı oluyor
Her gün yaptığımız iş budur: Test araç kutusu profesyonelleri aslında çalışmaya devam ediyor: tarayıcılar, algılayıcılar, kırıcılar ve web proxy'leri, bunların gerçek etkileşimlerde nasıl kullanıldığını - komutlar, işaretler, çıktılar ve her birinin bir metodolojide nerede bulunduğunu - açıkladı. Penetrasyon Testleri ve Linux Sunucu Güvenliği servisimiz bunu baştan sona kapsar: değerlendirme, uygulama, 7/24 izleme ve 30 dakika içinde acil müdahale.