في المقالة التالية سوف نلقي نظرة على أراشني. إنه يقع في حوالي أ تم تطوير إطار العمل باستخدام Ruby وتم إنشاؤه لتزويد المستخدمين بميزات مختلفة لفحص تطبيقات الويب. على الرغم من عدم تلقي تحديثات لمدة عامين ، فقد كان يُعتقد في يومها أنه مفيد للمحترفين في اختبارات التحليل والاختراق ، إلا أنه يمكن أن يكون مفيدًا أيضًا لمسؤولي الخادم أو مشرفي المواقع الذين يقومون بتقييم أمان تطبيقات الويب.
Es المتعدد، متوافق مع أنظمة التشغيل الرئيسية مثل Windows و Mac OS X و Gnu / Linux. يتم توزيعه من خلال الحزم التي تسمح بالنشر الفوري. يكون حر وشفرة المصدر الخاصة به عامة ، يمكننا العثور عليها في ملف صفحة جيثب.
ماذا يكون متعدد الاستخدامات بما يكفي لتغطية عدد كبير من حالات الاستخداممن أداة مسح ضوئي بسيطة لسطر الأوامر إلى شبكة عالمية من الماسحات الضوئية عالية الأداء ومكتبة Ruby للتدقيق النصي. بالإضافة إلى ذلك ، فإن واجهة برمجة تطبيقات REST المباشرة تجعل التكامل أمرًا سهلاً.
هذا الإطار يدرب نفسه من خلال مراقبة وتعلم سلوك تطبيق الويب أثناء عملية المسح. بالإضافة إلى ذلك ، يمكنك إجراء تحليل باستخدام عدد من العوامل لتقييم موثوقية النتائج بشكل صحيح وتحديد أو تجنب الإيجابيات الخاطئة.
سيأخذ هذا الماسح في الاعتبار الطبيعة الديناميكية لتطبيقات الويب. علبة اكتشاف التغييرات التي تحدث أثناء عبور مسارات تطبيق الويب، القدرة على التكيف وفقًا لذلك. وبهذه الطريقة ، يمكن التعامل مع نواقل الهجوم / الدخول التي قد يتعذر اكتشافها بواسطة أشخاص غير بشريين دون مشاكل.
علاوة على ذلك ، نظرًا لبيئة المتصفح المتكاملة الخاصة به ، فهو أيضًا يمكن تدقيق كود جانب العميل وتفتيشهبالإضافة إلى دعم تطبيقات الويب المعقدة ، والتي تستخدم بشكل مكثف تقنيات مثل JavaScript و HTML5 ومعالجة DOM و AJAX.
الخصائص العامة للعراشني
- Cookie-jar / cookie-string ورأس مخصص ودعم SSL مع بعض الخيارات.
- انتحال وكيل المستخدم.
- دعم الوكيل لـ SOCKS4 و SOCKS4A و SOCKS5 و HTTP / 1.1 و HTTP / 1.0.
- مصادقة الوكيل.
- مصادقة الموقع (المستندة إلى SSL ، والمستندة إلى النماذج ، و Cookie-Jar ، و Basic-Digest ، و NTLMv1 ، و Kerberos ، وغيرها).
- تسجيل الخروج التلقائي وإعادة الكشف عن الجلسة أثناء المسح.
- اكتشاف صفحة 404 مخصصة.
- واجهة خط الأوامر.
- واجهة مستخدم الويب.
- وقفة / استئناف وظيفة. دعم الإسبات: تعليق واستعادة من القرص.
- طلبات HTTP غير المتزامنة عالية الأداء.
- مع القدرة على الكشف التلقائي عن حالة الخادم وضبط التزامن الخاص به تلقائيًا.
- دعم قيم الإدخال الافتراضية المخصصة ، باستخدام أزواج من الأنماط (ليتم مطابقتها مع أسماء الإدخال) والقيم التي سيتم استخدامها لتعبئة المدخلات المقابلة.
هذه ليست سوى بعض الميزات. يمكن ان يكون انظر إلى هؤلاء وكل الآخرين بالتفصيل، وفي صفحة مشروع جيثب.
قم بتثبيت ماسح Arachni على أوبونتو
سنكون قادرين قم بتنزيل الحزمة ضروري إما من موقع المشروع أو بفتح محطة طرفية (Ctrl + Alt + T) وكتابة الأمر التالي فيها:
wget https://github.com/Arachni/arachni/releases/download/v1.5.1/arachni-1.5.1-0.5.12-linux-x86_64.tar.gz
الآن لدينا فقط قم باستخراج الحزمة التي تم تنزيلها تشغيل الأمر التالي في نفس الجهاز:
tar -xvf arachni-1.5.1-0.5.12-linux-x86_64.tar.gz
بدء تشغيل Arachni والاستخدام الأساسي
سنكون قادرين إطلاق واجهة الويب Arachni بالأمر التالي:
~/arachni-1.5.1-0.5.12/bin$ ./arachni_web
بمجرد أن نبدأ ، سنفعل افتح المتصفح وسنكتب كعنوان URL:
https://localhost:9292/users/sign_in/
اسم المستخدم وكلمة المرور الافتراضيان ، يمكننا العثور عليهما في الويكي والتي يمكن رؤيتها في لقطة الشاشة أعلاه. بمجرد دخولك إلى الواجهة ، لبدء استكشاف جديد ، سيتعين علينا فقط النقر فوق الرمز "+ جديد".
بعد إدخال عنوان URL للمسح ، نواصل بالنقر فوق Go لتبدأ
هكذا يبدأ الفحص.
بعد اكتمال الفحص ، إلى قم بتنزيل التقرير كل ما يتعين علينا القيام به هو اختيار التنسيق والنقر فوق موافق.
باختصار ، على الرغم من ذلك لم يتلق هذا الماسح تحديثات لمدة عامين حتى الآن، لا يزال متعدد الاستخدامات بما يكفي لتغطية عدد كبير من حالات الاستخدام. لمزيد من المعلومات حول هذا المشروع ، يمكنك الاتصال بك الموقع.