В этой статье я познакомлю вас с отличным сканером веб-приложений SkipFish, от разработчиков Google.
Еще по теме: Взлом веб-приложения брутом Burp Suite
Что такое SkipFish
Skipfish — это инструмент для поиска уязвимостей веб-приложений. После выполнения рекурсивного сканирования и поиска на основе словаря, создает интерактивную карту целевого сайта. Полученная карта затем аннотируется выводом ряда активных проверок безопасности. Окончательный отчет, созданный инструментом, служит основой для оценки безопасности веб-приложения.
Преимущества SkipFish :
- Высокая производительность при скромном использовании процессора и памяти.
- Хорошо продуманная проверка безопасности сайта.
- Автоматическое построение списка слов на основе анализа контента сайта.
- Связанные проверки безопасности предназначены для обработки сложных сценариев (слепая инъекция SQL или XML и т.д).
- Постобработка отчетов значительно снижает шум, вызванный любыми оставшимися ложными срабатываниями или уловками сервера, путем выявления повторяющихся шаблонов.
Использование SkipFish на Kali Linux
SkipFish по умолчанию установлен в полной версии Kali Linux. Если в вашей версии его нет, тогда установите его через apt:
1 |
sudo apt install skipfish |
Для начала открываем справку и изучаем параметры использования:
1 |
sudo skipfish -h |
В качестве цели, я буду сканировать localhost, но также можно использовать IP-адрес сайта:
1 |
sudo skipfish -o SkipfishTEST http://192.168.225.37/bodgeit |
В приведенной выше команде был использован параметр -o, который позволяет выбрать каталог для сохранения отчета (в моем случае — SkipfishTEST).
После выполнения команды появится меню, где можно подождать 60 секунд, чтобы начать сканирование, или нажать любую клавишу, чтобы начать сканирование.
После запуска процесса сканирования, SkipFish начнет искать уязвимости. Это займет какое-то время, в зависимости от размера целевого веб-приложения и скорости интернет подключения (в моем случае — это локальный хост, поэтому скорость подключения никак не влияет).
Для получения информации о процессе сканирования, нажмите пробел.
После завершения сканирования, SkipFish создаст отчет.
Для просмотра отчета, откройте в браузере файл index.html.
Для получения информации, кликните по найденной уязвимости.
На приведенном выше скрине видно, что SkipFish нашел уязвимости, среди которых есть и критические.
На этом все. Надеюсь статья помогла в использовании SkipFish на Kali Linux. Дополнительную информацию найдете здесь.
ПОЛЕЗНЫЕ ССЫЛКИ:
- Крутые инструменты для поиска уязвимостей сайтов
- Поиск уязвимостей веб-приложения с помощью Metasploit