ספגטי, סרוק את האבטחה של יישומי האינטרנט שלך

במאמר הבא אנו נסתכל על ספגטי. זהו יישום קוד פתוח. זה פותח ב- Python ו- זה יאפשר לנו לסרוק יישומי אינטרנט בחיפוש אחר נקודות תורפה על מנת לתקן אותם. היישום נועד לאתר קבצי ברירת מחדל או קבצים לא מאובטחים, כמו גם לזהות תצורות שגויות.

כיום, כל משתמש בעל ידע מינימלי יכול ליצור יישומי רשת, ולכן אלפי יישומי רשת נוצרים מדי יום. הבעיה היא שרבים מהם נוצרים מבלי לעקוב אחר קווי אבטחה בסיסיים. כדי להימנע מהשארת דלתות פתוחות, נוכל להשתמש בתוכנית זו כדי לנתח כי יישומי האינטרנט שלנו הם ברמת אבטחה גבוהה או לפחות מקובלת. ספגטי הוא סורק פגיעות מאוד מעניין וקל לשימוש.

מאפיינים כלליים של ספגטי 0.1.0

כפי שהוא פותח בשנת פִּיתוֹן הכלי הזה יעשה זאת להיות מסוגל לרוץ בכל מערכת הפעלה להפוך אותו לתואם לפיתון גרסה 2.7.

התוכנית מכילה "עוצמה"טביעת אצבע"זה יאפשר לנו לאסוף מידע מיישום אינטרנט. בין כולם המידע שאתה יכול לאסוף יישום זה מדגיש את המידע הקשור לשרת, את המסגרת המשמשת לפיתוח (CakePHP, CherryPy, Django, ...), היא תודיע לנו אם היא מכילה חומת אש פעילה (Cloudflare, AWS, Barracuda, ...), אם הוא פותח באמצעות CMS (דרופל, ג'ומלה, וורדפרס וכו '), מערכת ההפעלה בה פועלת היישום ושפת התכנות.

אנו יכולים גם לקבל מידע מלוח הניהול של אפליקציית האינטרנט, מהדלתות האחוריות (אם יש כאלה) ודברים רבים אחרים. יתר על כן, תוכנית זו כוללת כמה סדרות של פונקציות שימושיות. את כל זה אנחנו יכולים לבצע מהטרמינל ובצורה פשוטה.

ההפעלה של תוכנית זו עבור הטרמינל, באופן כללי, הייתה כדלקמן. בכל פעם שאנחנו מפעילים את הכלי פשוט נצטרך לבחור את כתובת ה- URL של יישום האינטרנט אותו אנו רוצים לנתח. נצטרך להזין את הפרמטרים המתאימים לפונקציונליות שאנו רוצים להחיל. אז הכלי יהיה אחראי על ביצוע הניתוח המתאים ויציג את התוצאות שהושגו.

אנו יכולים לגשת לקוד היישום ומאפייניו מהעמוד של GitHub של הפרויקט. כלי השירות הוא די חזק וקל לשימוש. יש לומר כי יש לו מפתח פעיל מאוד, המתמחה בכלים הקשורים לאבטחת מחשבים. אז אני מניח שעדכון הבא הוא עניין של זמן.

התקן ספגטי 0.1.0

במאמר זה אנו מתכוונים להתקין באובונטו 16.04, אך ניתן להתקין ספגטי בכל הפצה. אנחנו פשוט חייבים התקנת פייתון 2.7 (לכל הפחות) והפעל את הפקודות הבאות:

git clone https://github.com/m4ll0k/Spaghetti.git
cd Spaghetti
pip install -r doc/requirements.txt
python spaghetti.py -h

לאחר סיום ההתקנה, אנו יכולים להשתמש בכלי בכל יישומי האינטרנט שברצוננו לסרוק.

השתמש בספגטי

חשוב לציין כי השימוש הטוב ביותר שנוכל לעשות בכלי זה הוא למצוא פערי אבטחה פתוחים ביישומי האינטרנט שלנו. עם התוכנית, לאחר מציאת ליקויי האבטחה, צריך להיות לנו קל לפתור אותם (אם אנחנו המפתחים). בדרך זו אנו יכולים להפוך את היישומים שלנו לבטוחים יותר.

כדי להשתמש בתוכנית זו, כפי שאמרתי בעבר, מהמסוף (Ctrl + Alt + T) נצטרך לכתוב משהו כזה:

python spaghetti.py -u “objetivo” -s [0-3]

או שאנחנו יכולים גם להשתמש:

python spaghetti.py --url “objetivo” --scan [0-3]

כאשר אתה קורא "אובייקטיבי" תצטרך למקם את כתובת האתר לניתוח. עם האפשרויות -uo –url זה מתייחס ליעד הסריקה, -so –scan ייתן לנו אפשרויות שונות מ- 0 עד 3. אתה יכול לבדוק את המשמעות המפורטת יותר בעזרת התוכנית.

אם אנו רוצים לדעת אילו אפשרויות הוא מעמיד לרשותנו, נוכל להשתמש בעזרה שתוצג על המסך.

זה יהיה טיפשי לא לגלות שמשתמשים אחרים יכולים לנצל את הכלי הזה כדי לנסות לגשת ליישומי אינטרנט שאינם בבעלותם. זה יהיה תלוי באתיקה של כל משתמש.