24 marca 2010
Self Audit My Server odnajdzie luki w naszych serwisach
Jednym z najciekawszych automatycznych skanerów bezpieczeństwa serwerów oraz serwisów internetowych jest otwarty program Nikto. Warto również przypomnieć, że kilka dni temu ukazał się podobny program (Skipfish) autorstwa Michała Zalewskiego. Specjalizowane programy nie zawsze mamy jednak pod ręką. Na szczęście (i nieszczęście właścicieli dziurawych serwisów) powstaje jednak coraz więcej serwisów internetowych oferujących podobne, a czasem nawet jeszcze ciekawsze funkcje.
Prezentowałem już między innymi nietypową wyszukiwarkę SHODAN, której niecodzienne funkcje świetnie nadają się do odnajdowania... dziurawych serwerów internetowych. Dziś natomiast chciałbym zaprezentować możliwości serwisu Self Audit My Server.
Działanie serwisu jest bardzo proste. Po wprowadzeniu nazwy domenowej bądź adresu IP interesującego nas serwera, rozpocznie się automatyczne skanowanie. Docelowy system zostanie przeskanowany za pomocą czterech narzędzi:
- Whois (whois -H)
- Nmap (nmap -F -O -T5 -sV --system-dns -PN)
- Nikto (perl nikto.pl -T 03456789bcx -Cgidirs none -timeout 2 -host Host_Name -port 80)
- SQLiX (perl SQLiX.pl -file=path -all -v=2)
Self Audit My Server pozwala nam więc na automatyczne zebranie między innymi następujących informacji:
- szczegółów na temat właściciela domeny,
- rodzaju docelowego systemu operacyjnego oraz poszczególnych usług pracujących pod jego kontrolą,
- szczegółów na temat potencjalnych luk bezpieczeństwa (takich jak podatność na ataki typu SQL injection) obecnych w docelowym serwisie internetowym.
Self Audit My Server pozwala nie tylko na łatwy dostęp do powyższych narzędzi praktycznie z dowolnego urządzenia wyposażonego w dostęp do Internetu, ale również gwarantuje nam, że nasze skanowania nie będą pochodzić z naszego adresu IP.
Twórcy zachęcają oczywiście do wykorzystania serwisu w celu testowania bezpieczeństwa, a nie wyszukiwania potencjalnych ofiar crackerskich ataków:
Use it as a white hat !
Nie zmienia to jednak faktu, że tego typu narzędzia mogą być również wykorzystywane przez script kiddies oraz crackerów...
Subskrybuj:
Komentarze do posta (Atom)