Testssl.sh — это скрипт для проверки серверов на предмет безопасной настройки TLS/SSL. Давайте разберемся как установить и использовать testssl.sh.
Еще по теме: Установка и использование sslscan
Что такое testssl.sh
testssl.sh — это инструмент командной строки, который используется для выполнения проверок безопасности SSL/TLS. Он предоставляет набор тестов, которые позволяют оценить безопасность серверов и сертификатов SSL/TLS.
Возможности testssl.sh:
- Сканирование SSL/TLS-сервера и определение версии протокола (например, TLS 1.0, TLS 1.2, TLS 1.3) и шифрования (например, RSA, DHE, ECDHE).
- Проверка на наличие уязвимостей, таких как POODLE, Heartbleed, BEAST, DROWN и других, которые могут быть связаны с SSL/TLS.
- Анализ срока действия SSL-сертификатов и оповещение об истечении срока.
- Дополнительные сведения о сертификатах, такие как цепочки сертификатов, информацию о субъекте, издателе и т. д.
- Проверка Perfect Forward Secrecy (PFS), что является важным фактором для безопасности SSL/TLS-соединений.
Статья в образовательных целях для обучения этичных хакеров. Баг Баунти — это программа, которую владелец сайта (web-приложения) проводит для привлечения сторонних специалистов к поиску уязвимостей. При участии в программе Bug Bounty нужно действовать этично и придерживаться установленных правил.
Установка testssl.sh
Установка на Linux
Клонируйте репозиторий
|
1 2 |
git clone https://github.com/drwetter/testssl.sh |
Или так:
|
1 |
git clone --depth 1 https://github.com/drwetter/testssl.sh.git |
Перейдите в каталог и запустите install.sh:
|
1 2 |
cd testssl.sh sudo ./install.sh |
Установка в Docker
|
1 |
docker run --rm -ti drwetter/testssl.sh |
Это установит testssl.sh в /usr/local/bin/.
Использование testssl.sh
Чтобы просканировать сайт, просто укажите домен:
|
1 |
testssl.sh example.com |
Скрипт протестирует настройки TLS/SSL и выведет подробный отчет с результатами.
Проверка на небезопасные настройки:
|
1 |
testssl.sh -u example.com |
Пример сканирования нескольких сайтов и сохранения результата в файл html:
|
1 |
testssl.sh -f sites.txt -U --xslt > report.html |
Другие параметры запуска:
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 |
-h - справка по использованию -s - тихий режим, без вывода баннеров -V - вывод версии testssl.sh -p PORT - указать порт для сканирования -f FILE - сканировать домены из файла -u - выводить только проблемные настройки -S - выводить только безопасные настройки -ipv4 - использовать только IPv4 -ipv6 - использовать только IPv6 -c FILE - указать файл с сертификатами -t TYPE - проверять только указанный тип (openssl, server) -U - выводить цветной HTML отчёт -P - выводить отчет в формате JSON --mssql - проверить шифрование MSSQL --xpath - вывод XPATH запросов для XML отчёта |
Testssl.sh — отличный инструмент для аудита TLS. Подробнее обо всех опциях в официальном репозитории.
ПОЛЕЗНЫЕ ССЫЛКИ:
