ในบทความต่อไปเราจะมาดูที่ Arachni มันเกี่ยวกับ เฟรมเวิร์กที่พัฒนาด้วย Ruby และสร้างขึ้นเพื่อให้ผู้ใช้มีคุณสมบัติที่แตกต่างกันสำหรับการสแกนเว็บแอปพลิเคชัน แม้จะไม่ได้รับการอัปเดตเป็นเวลา 2 ปี แต่ในสมัยนั้นมีการคิดว่าจะช่วยผู้เชี่ยวชาญในการวิเคราะห์และทดสอบการเจาะข้อมูล แต่ก็มีประโยชน์สำหรับผู้ดูแลระบบเซิร์ฟเวอร์หรือผู้ดูแลเว็บที่ประเมินความปลอดภัยของเว็บแอปพลิเคชัน
Es ข้ามแพลตฟอร์มเข้ากันได้กับระบบปฏิบัติการหลักเช่น Windows, Mac OS X และ Gnu / Linux เผยแพร่ผ่านแพ็คเกจที่อนุญาตให้นำไปใช้งานได้ทันที คือ ฟรี และซอร์สโค้ดเป็นแบบสาธารณะเราสามารถหาได้ในไฟล์ หน้า GitHub.
คืออะไร อเนกประสงค์เพียงพอที่จะครอบคลุมกรณีการใช้งานจำนวนมากตั้งแต่ยูทิลิตี้สแกนเนอร์บรรทัดคำสั่งธรรมดาไปจนถึงกริดสแกนเนอร์ประสิทธิภาพสูงทั่วโลกและไลบรารี Ruby สำหรับการตรวจสอบแบบสคริปต์ นอกจากนี้ REST API ที่ตรงไปตรงมาทำให้การรวมเป็นเรื่องง่าย
กรอบนี้ฝึกตัวเองผ่าน ตรวจสอบและเรียนรู้พฤติกรรมของเว็บแอปพลิเคชันในระหว่างกระบวนการสแกน. นอกจากนี้คุณสามารถทำการวิเคราะห์โดยใช้ปัจจัยหลายประการเพื่อประเมินความน่าเชื่อถือของผลลัพธ์ได้อย่างถูกต้องและระบุหรือหลีกเลี่ยงผลบวกที่ผิดพลาด
เครื่องสแกนนี้จะคำนึงถึงลักษณะไดนามิกของเว็บแอปพลิเคชัน สามารถ ตรวจจับการเปลี่ยนแปลงที่เกิดขึ้นขณะข้ามเส้นทางของเว็บแอปพลิเคชันความสามารถในการปรับเปลี่ยน ด้วยวิธีนี้เวกเตอร์การโจมตี / การเข้าที่ไม่สามารถตรวจจับได้โดยที่ไม่ใช่มนุษย์สามารถจัดการได้โดยไม่มีปัญหา
นอกจากนี้เนื่องจากสภาพแวดล้อมเบราว์เซอร์ในตัวมันยัง รหัสฝั่งไคลเอ็นต์สามารถตรวจสอบและตรวจสอบได้เช่นเดียวกับการสนับสนุนเว็บแอปพลิเคชันที่ซับซ้อนซึ่งใช้เทคโนโลยีอย่างหนักเช่น JavaScript, HTML5, การจัดการ DOM และ AJAX
ลักษณะทั่วไปของ Arachni
- Cookie-jar / cookie-string ส่วนหัวที่กำหนดเองและรองรับ SSL พร้อมตัวเลือกบางอย่าง
- การปลอมแปลงตัวแทนผู้ใช้
- รองรับพร็อกซีสำหรับ SOCKS4, SOCKS4A, SOCKS5, HTTP / 1.1 และ HTTP / 1.0
- การพิสูจน์ตัวตนพร็อกซี
- การตรวจสอบความถูกต้องของไซต์ (โดยใช้ SSL, แบบฟอร์ม, กระปุกคุกกี้, ไดเจสต์พื้นฐาน, NTLMv1, Kerberos และอื่น ๆ )
- ออกจากระบบอัตโนมัติและตรวจหาเซสชันใหม่ระหว่างการสแกน
- การตรวจหาหน้า 404 แบบกำหนดเอง
- อินเทอร์เฟซบรรทัดคำสั่ง.
- ส่วนต่อประสานผู้ใช้บนเว็บ.
- หยุดชั่วคราว / กลับมาทำงาน การสนับสนุนไฮเบอร์เนต: ระงับและกู้คืนจากดิสก์
- คำขอ HTTP แบบอะซิงโครนัสประสิทธิภาพสูง
- ด้วยความสามารถในการตรวจจับสถานะของเซิร์ฟเวอร์โดยอัตโนมัติและปรับการทำงานพร้อมกันโดยอัตโนมัติ
- รองรับค่าอินพุตเริ่มต้นที่กำหนดเองโดยใช้คู่ของรูปแบบ (ที่จะจับคู่กับชื่ออินพุต) และค่าที่จะใช้เพื่อเติมข้อมูลอินพุตที่เกี่ยวข้อง
นี่เป็นเพียงคุณสมบัติบางส่วน พวกเขาสามารถ ดูรายละเอียดเหล่านี้และอื่น ๆ ทั้งหมด, ใน หน้าโครงการ GitHub.
ติดตั้งเครื่องสแกน Arachni บน Ubuntu
เราจะสามารถ ดาวน์โหลดแพ็คเกจ จำเป็นจากเว็บไซต์โครงการ หรือโดยการเปิดเทอร์มินัล (Ctrl + Alt + T) แล้วพิมพ์คำสั่งต่อไปนี้:
wget https://github.com/Arachni/arachni/releases/download/v1.5.1/arachni-1.5.1-0.5.12-linux-x86_64.tar.gz
ตอนนี้เรามีเพียง แตกแพ็กเกจที่ดาวน์โหลดมา รันคำสั่งต่อไปนี้ในเทอร์มินัลเดียวกัน:
tar -xvf arachni-1.5.1-0.5.12-linux-x86_64.tar.gz
การเริ่มต้นของ Arachni และการใช้งานขั้นพื้นฐาน
เราจะสามารถ เปิดเว็บอินเตอร์เฟส Arachni ด้วยคำสั่งต่อไปนี้:
~/arachni-1.5.1-0.5.12/bin$ ./arachni_web
เมื่อเริ่มต้นแล้วเราจะ เปิดเบราว์เซอร์และเป็น URL ที่เราจะเขียน:
https://localhost:9292/users/sign_in/
ชื่อผู้ใช้และรหัสผ่านเริ่มต้นเราสามารถค้นหาได้ใน Wiki ซึ่งสามารถเห็นได้ในภาพหน้าจอด้านบน เมื่ออยู่ในอินเทอร์เฟซเพื่อเริ่มการสำรวจใหม่เราจะต้องคลิกที่ไอคอนเท่านั้น+ ใหม่'
หลังจากป้อน URL ที่จะสแกนเราดำเนินการต่อโดยคลิกที่ Go เพื่อเริ่ม
นี่คือวิธีเริ่มต้นการสแกน
หลังจากการสแกนเสร็จสิ้นไปที่ ดาวน์โหลดรายงาน สิ่งที่เราต้องทำคือเลือกรูปแบบและคลิกตกลง
ในระยะสั้นแม้ว่า สแกนเนอร์นี้ไม่ได้รับการอัปเดตเป็นเวลาสองสามปีแล้วมันยังคงใช้งานได้หลากหลายเพียงพอที่จะครอบคลุมกรณีการใช้งานจำนวนมาก สำหรับข้อมูลเพิ่มเติมเกี่ยวกับโครงการนี้คุณสามารถติดต่อ เว็บไซต์.