В следващата статия ще разгледаме Арахни. Става въпрос за a рамка, разработена с Ruby и създаден, за да предложи на потребителите различни функции за сканиране на уеб приложения. Въпреки че не получава актуализации в продължение на 2 години, по негово време се смяташе, че е в помощ на професионалисти при тестове за анализ и проникване, може да бъде полезно и за администратори на сървъри или уебмастъри, които оценяват сигурността на уеб приложенията.
Es кръстосана платформа, съвместим с основните операционни системи като Windows, Mac OS X и Gnu / Linux. Той се разпространява чрез пакети, които позволяват незабавно внедряване. Е безплатно и неговият изходен код е публичен, можем да го намерим във вашия Страница на GitHub.
Е какво достатъчно гъвкав, за да покрие голям брой случаи на употребаОт проста помощна програма за скенер на команден ред до глобална мрежа от високопроизводителни скенери и библиотека Ruby за скриптов одит. Плюс това, неговият ясен REST API прави интеграцията лесна.
Тази рамка се обучава сама наблюдение и изучаване на поведението на уеб приложението по време на процеса на сканиране. Освен това можете да извършите анализ, като използвате редица фактори, за да оцените правилно надеждността на резултатите и да идентифицирате или избегнете фалшиви положителни резултати.
Този скенер ще вземе предвид динамичния характер на уеб приложенията. Мога откриване на промените, причинени по време на обхождането на пътищата на уеб приложение, да можете да регулирате съответно. По този начин векторите за атака / влизане, които иначе биха били неоткриваеми от нечовешки лица, могат да бъдат обработвани без проблеми.
Освен това, благодарение на своята интегрирана браузърска среда, той също клиентски код може да бъде одитиран и проверенкакто и поддръжка на сложни уеб приложения, които използват широко технологии като JavaScript, HTML5, DOM манипулация и AJAX.
Арахни общи характеристики
- Cookie-jar / cookie-string, потребителски заглавка и SSL поддръжка с някои опции.
- Подправяне на потребителски агент.
- Поддръжка на прокси за SOCKS4, SOCKS4A, SOCKS5, HTTP / 1.1 и HTTP / 1.0.
- Прокси удостоверяване.
- Удостоверяване на сайта (базиран на SSL, базиран на формуляри, Cookie-Jar, Basic-Digest, NTLMv1, Kerberos и други).
- Автоматично излизане и повторно откриване на сесия по време на сканиране.
- Персонализирано откриване на 404 страници.
- Интерфейс на командния ред.
- Уеб потребителски интерфейс.
- Функция на пауза / възобновяване. Поддръжка на хибернация: спиране и възстановяване от диск.
- Високопроизводителни асинхронни HTTP заявки.
- С възможност за автоматично откриване на състоянието на сървъра и автоматично регулиране на неговата паралелност.
- Поддръжка за персонализирани входни стойности по подразбиране, като се използват двойки шаблони (за да бъдат съпоставени с имената на входовете) и стойности, които да се използват за попълване на съответните входове.
Това са само някои от характеристиките. Те могат вижте тези и всички останали в детайлиВ страница GitHub на проекта.
Инсталирайте скенера Arachni на Ubuntu
Ще имаме възможност изтеглете пакета необходимо или от уебсайта на проекта или чрез отваряне на терминал (Ctrl + Alt + T) и въвеждане на следната команда в него:
wget https://github.com/Arachni/arachni/releases/download/v1.5.1/arachni-1.5.1-0.5.12-linux-x86_64.tar.gz
Сега имаме само извлечете изтегления пакет изпълнява следната команда в същия терминал:
tar -xvf arachni-1.5.1-0.5.12-linux-x86_64.tar.gz
Arachni Стартиране и основно използване
Ще имаме възможност стартирайте уеб интерфейса Arachni със следната команда:
~/arachni-1.5.1-0.5.12/bin$ ./arachni_web
След като започнем, ще го направим отворете браузъра и като URL ще напишем:
https://localhost:9292/users/sign_in/
Потребителското име и паролата по подразбиране можем да ги намерим в Wiki което може да се види на горната екранна снимка. След като влезете в интерфейса, за да започнете ново проучване, ще трябва само да кликнете върху иконата '+ Ново'.
След въвеждане на URL за сканиране, ние продължаваме, като щракнем върху Go да започнем
Така започва сканирането.
След като сканирането приключи, до изтеглете отчета всичко, което трябва да направим, е да изберем формата и да щракнем върху OK.
Накратко, въпреки че Този скенер не е получавал актуализации от няколко години, той все още е достатъчно гъвкав, за да покрие голям брой случаи на употреба. За повече информация относно този проект можете да се свържете с вашия уебсайт.