So suchen Sie nach Schwachstellen in Webanwendungen: Vergleichen Sie acht gängige Scanner

Webanwendungsscanner sind heutzutage eine recht beliebte Kategorie von Software. Es gibt kostenpflichtige Scanner, es gibt kostenlose. Jeder von ihnen hat seine eigenen Parameter und Schwachstellen, die erkannt werden können. Einige sind nur auf diejenigen beschränkt, die in den OWASP Top Ten (Open Web Application Security Project) veröffentlicht wurden, andere gehen bei ihren Black-Box-Tests noch viel weiter.



In diesem Beitrag haben wir acht beliebte Scanner gesammelt, genauer untersucht und ausprobiert. Unabhängige Punkte auf zwei Plattformen (.NET und PHP) wurden als Trainingsziele ausgewählt: Premium.pgabank.com und Php.testsparker.com .

OWASP ZAP

Wie der Name schon sagt, ist die in der Einleitung erwähnte OWASP- Organisation für die Veröffentlichung von OWASP ZAP verantwortlich . Dies ist ein kostenloses Tool zum Testen der Penetration und zum Auffinden von Schwachstellen in Webanwendungen.

Hauptmerkmale von OWASP ZAP:

• Man-in-the-Middle-Proxy
  
• Traditionelle und AJAX-Spinnen
  
• Automatisierter Scanner
  
• Passiver Scanner
  
• Erzwungenes Surfen
  
• Fuzzer
  

Die Programmoberfläche wurde ins Russische übersetzt, was für einige Benutzer praktisch sein wird. Der OWASP ZAP-Arbeitsbereich besteht aus mehreren Fenstern. Unten befinden sich Registerkarten mit aktuellen Aufgaben und dem Prozess ihrer Implementierung. Links befindet sich ein Baum mit Websites, den Sie zusätzlich im rechten Teil des Anforderungs- und Antwortfensters anzeigen können.



Über den Marktplatz können Sie die Funktionalität des Scanners leicht erweitern.



Jede Komponente des Programms verfügt über viele anpassbare Parameter. Beispielsweise können wir eingehende Vektoren für das aktive Scannen konfigurieren, dynamische SSL-Zertifikate generieren, HTTP-Sitzungskennungen hinzufügen usw.



Fahren wir mit den Tests fort. Beim Scannen einer Site php.testsparker.com wurde eine Blind SQL Injection gefunden. Hier enden kritische Schwachstellen.


Auf premium.bgabank.com sehen wir weitere interessante Ergebnisse: Die Funktionen Server Side Include (SSI) und Reflected Cross Site Scripting wurden gefunden.


Alle Scanergebnisse können in einen Bericht exportiert werden (* .pdf, * .html, * .xml, * .json werden unterstützt). Der Bericht beschreibt detailliert Schwachstellen, gefundene Vektoren sowie Methoden zum "Schließen" von Schwachstellen.



Im Allgemeinen haben wir gerne mit OWASP ZAP gearbeitet. Es gibt alle notwendigen Tools für die Pentest-Webanwendung, eine einfache und intuitive Benutzeroberfläche sowie ein schnelles Scannen mit einem Klick. Gleichzeitig flexible, tiefgreifende Einstellungen für einen detaillierteren Scan, der als Ausgangspunkt für die weitere manuelle Suche nach Schwachstellen dienen kann. Im Folgenden werden wir auch über den Burp Suite Pro-Scanner sprechen, der viel mit OWASP ZAP gemeinsam hat. Aufgrund der Anzahl und Qualität der gefundenen Sicherheitslücken zeigte der erste von uns untersuchte Scanner ein sehr gutes Ergebnis. Empfohlen für den Einsatz in der Arbeit.

W9scan

W9scan ist ein kostenloser Konsolen-Schwachstellenscanner für die Site mit mehr als 1200 integrierten Plug-Ins , mit denen Fingerabdrücke von Webseiten und Ports erkannt, die Struktur der Website analysiert, verschiedene beliebte Schwachstellen gefunden, nach SQL Injection, XSS usw. gesucht werden können.


W9scan generiert automatisch Berichte über Scanergebnisse im HTML-Format. Um einen Scan zu starten, müssen Sie nur die Site-URL und die zu verwendenden Plugins angeben. Sie können alles auf einmal auswählen, indem Sie "alle" hinzufügen.



Beim Scannen von php.testsparker.com hat W9scan svn und mögliche Download-Pfade für Nutzdaten gefunden. Aus der weniger kritischen habe ich die Versionen der verwendeten Dienste ermittelt, mögliche Vektoren für die Durchführung von XXE- und XXS-Angriffen, die Serverkonfigurationsdateien gefunden und nach Subdomänen gesucht.

Auf premium.bgabank.com wurde nichts Kritisches gefunden. Der Scanner identifizierte jedoch mögliche Angriffsmethoden, definierte Dienstversionen, Verzeichnisse und Subdomänen.

Basierend auf den Scanergebnissen generiert W9scan automatisch eine HTML-Berichtsdatei.



Der W9scan-Scanner eignet sich für den Schnellstart mit einem einzigen Befehl. Wir empfehlen, ihn als Hilfswerkzeug zur Ermittlung von Serviceversionen sowie potenzieller Angriffsmethoden zu verwenden.

Wapiti

Ein weiterer guter Konsolenscanner. Genau wie W9scan kann es mit einem Befehl gestartet werden, während es mehr verschiedene Scaneinstellungen hat.



Wapiti sucht nach folgenden Sicherheitslücken:

• Offenlegung von Dateien (Lokale und Remote-Include / Require, Fopen, Readfile ...)
  
• Datenbankinjektion (PHP / JSP / ASP SQL-Injektionen und XPath-Injektionen)
  
• XSS-Injektion (Cross Site Scripting) (reflektiert und permanent)
  
• Befehlsausführungserkennung (eval (), system (), passtru () ...)
  
• CRLF-Injektion (HTTP-Antwortaufteilung, Sitzungsfixierung ...)
  
• XXE-Injektion (XML External Entity)
  
• SSRF (Server Side Request Forgery)
  
• Verwendung von bekannten potenziell gefährlichen Dateien
  
• Schwache .htaccess-Konfigurationen, die umgangen werden können
  
• Vorhandensein von Sicherungsdateien mit vertraulichen Informationen
  
• Shellshock
  

Zusätzlich zu all dem gibt es Unterstützung für Proxys (HTTP, HTTPs und SOCKS5), verschiedene Authentifizierungsmethoden (Basic, Digest, Kerberos, NTLM), Unterstützung für SSL-Zertifikate, die Möglichkeit, verschiedene HTTP-Header oder User-Agent-Einstellungen hinzuzufügen.

Beim Scannen der Site php.testsparker.com wurden die Sicherheitslücken Blind SQL Injection, Cross Site Scripting und Befehlsausführung gefunden. Auf premium.bgabank.com zeigt Wapiti im Vergleich zu anderen Scannern keine so hervorragenden Ergebnisse: Es wurde nur Cross Site Scripting erkannt.



Basierend auf den Ergebnissen des Scanners wird auch ein HTML-Bericht erstellt, der die Kategorien und die Anzahl der gefundenen Schwachstellen, deren Beschreibung, Anforderungen, Befehle zum Einrollen und Tipps zum Schließen der gefundenen Sicherheitslücken enthält.

Wie erwartet erreicht Wapiti nicht das Niveau von OWASP ZAP. Trotzdem funktionierte es besser als W9scan , obwohl es keine Verzeichnisse, Subdomains durchsuchte und die Version der Dienste bestimmte.

Arachni

Ein leistungsstarker kostenloser Prozessor zum Testen der Sicherheit von Webanwendungen und der Suche nach Sicherheitslücken. Es hat eine grafische Oberfläche und eine riesige Funktionalität, die auf der offiziellen Website ausführlicher zu finden ist .

Aktives Testen:

• SQL Injection - Fehlerbasierte Erkennung
  
• Blind SQL Injection mit Differentialanalyse
  
• Blind SQL Injection mit Timing-Attacken
  
• NoSQL-Injection - Fehlerbasierte Schwachstellenerkennung
  
• Blinde NoSQL-Injektion mittels Differentialanalyse
  

Passive Prüfung:

• Zulässige HTTP-Methoden
  
• Dateien sichern
  
• Sicherungsverzeichnisse
  
• Gemeinsame Administrationsoberflächen
  
• Gemeinsame Verzeichnisse
  
• Gemeinsame Dateien
  

Beeindruckend, nicht wahr? Das ist aber noch nicht alles. Eine Reihe von Plugins sind ebenfalls im Web enthalten, z. B. Passive Proxy, Dictionary-Angreifer für HTTP-Authentifizierung, Cookie-Sammler, WAF-Detektor usw.

Der Scanner verfügt über eine schöne und übersichtliche Weboberfläche:



Und genau das hat Arachni auf unseren Testgeländen gefunden. Php.testsparker.com :

• Cross-Site Scripting (XSS) im Skriptkontext
  
• Blind SQL Injection (Differentialanalyse)
  
• Code-Injection
  
• Code-Injection (Timing-Angriff)
  
• Befehlsinjektion des Betriebssystems (Timing-Angriff)
  
• Befehlsinjektion des Betriebssystems
  

Auf premium.bgabank.com wurde nur die Möglichkeit einer Cross-Site Request Forgery (CSRF) aus der kritischen entdeckt.


Separat stellen wir fest, welche schönen Berichte Arachni uns gibt. Viele Formate werden unterstützt - HTML, XML, Text, JSON, Marschall, YAML, AFR.



Im Allgemeinen hinterlässt Arachni nach der Arbeit nur positive Eindrücke. Unsere Meinung: Dies ist ein Muss im Arsenal eines jeden Spezialisten mit Selbstachtung .

Paros

Ein weiterer GUI-Web-Schwachstellenscanner. Standardmäßig ist es in der Kali Linux-Distribution enthalten und wird dort lokal installiert. Es verfügt über einen integrierten Proxy, über den Websites für die Analyse hinzugefügt werden, einen integrierten Web-Spider, der die Website analysieren und eine Abfragezuordnung erstellen kann.

Um das persönliche Konto eines Benutzers zu scannen, müssen Sie sich beim Browser anmelden, wobei die Verkehrsumleitung über den Paros-Proxy aktiviert ist. Der Scanner verwendet während des Scanvorgangs autorisierte Cookies. Der Aktivitätsbericht kann in HTML exportiert werden. Es wird in der Datei root / paros / session / LatestScannedReport.htm gespeichert und anschließend überschrieben. Wenn Sie das Ergebnis des vorherigen Scans speichern möchten, müssen Sie vor dem Starten des nächsten Scans eine Kopie der vorhandenen Datei erstellen.

Hauptmerkmale (mit Blick auf OWASP TOP 10 2017):

• A1: Injection - SQLinjection, SQLinjection Fingerprint (Orte, an denen sich SQLinj möglicherweise befinden könnte)
  
• A6: Fehlkonfiguration der Sicherheit - Durchsuchen von Verzeichnissen, ISS-Standarddatei, Offenlegung von Tomcat-Quelldateien, IBM WebSphere-Standarddateien und einige andere Standard- oder veraltete Dateien (veraltete Datei) mit Quellcode und mehr.
  
• A7: XSS
  

Zusätzliche Funktionen:

• Suchen Sie nach aktivierter automatischer Vervollständigung für Kennwortformulare. Wenn das Eingabefeld einen Attributtyp = "Passwort" hat, wird außerdem ein falsches Positiv erhalten.
  
• CRLF-Injektion
  
• Sicherer Seitenbrowser-Cache (Zwischenspeichern von Seiten in einem Browser mit wichtigen Informationen)
  
• Möglichkeit zum Scannen eines geschützten Bereichs eines Benutzers (persönliches Konto)
  
• Möglichkeit zum Scannen von Webanwendungen in einem lokalen Netzwerk
  

Im Abschlussbericht für jede Art von Sicherheitsanfälligkeit finden Sie detailliertere Informationen und einige Empfehlungen zur Behebung dieser Sicherheitsanfälligkeit.



In unseren Tests zeigte Paros eher schwache Ergebnisse. Auf php.testsparker.com wurden gefunden:

H: SQL-Injection
M: XSS
M: Veraltete Quelldateien
M: Verwenden der automatischen Vervollständigung in Formularen mit wichtigen Informationen (Kennwörtern usw.).
L: Offenlegung der internen IP
Bei premium.bgabank.com und noch weniger:
M: Verzeichnis durchsuchen
M: Verwenden der automatischen Vervollständigung in Formularen mit wichtigen Informationen (Kennwörtern usw.).

Obwohl der Paros-Scanner einfach und recht bequem zu bedienen ist, wird er aufgrund schlechter Scanergebnisse nicht mehr verwendet .

Tenable.io

Bezahlter multifunktionaler Cloud- Scanner , der eine große Anzahl von Web-Schwachstellen erkennen kann und OWASP TOP 10 2017 fast vollständig abdeckt.

Der Dienst verfügt über eine integrierte Webspinne. Wenn Sie in den Scaneinstellungen Autorisierungsdaten (Autorisierungsanforderung, Login und Passwort, autorisierte Cookies) angeben, überprüft der Scanner auch Ihr persönliches Konto (Zone des autorisierten Benutzers).

Tenable.io kann nicht nur Webanwendungen scannen, sondern auch das Netzwerk scannen - sowohl nach bekannten Sicherheitslücken als auch nach Hosts. Es ist möglich, Agenten zu verbinden, um das interne Netzwerk zu scannen. Es ist möglich, den Bericht in verschiedenen Formaten zu exportieren: * .nessus, * .csv, * .db, * .pdf.


Im Screenshot sind alle Domains "Test"


Zusätzliche Scanprofile. Dieser Artikel ist nicht betroffen

Nach dem Scannen werden Statistiken und Priorisierungen der gefundenen Schwachstellen verfügbar - kritische, hohe, mittlere, niedrige Informationen



Die Schwachstellenkarte enthält zusätzliche Informationen dazu und einige Empfehlungen für deren Beseitigung.



Scannen Sie php.testsparker.com . Sicherheitslücken mit hoher Priorität:

H: Sicherheitsanfälligkeiten bei Komponenten
- Keine Support-Version von PHP
- Keine Support-Version von Apache
H: Code-Injektion
H: SQLinj
H: XSS
H: LFI
H: Pfadüberquerung


Jetzt premium.bgabank.com . Sicherheitslücken mit hoher Priorität:

H: Sicherheitsanfälligkeiten bei Komponenten

• keine Support-Version von PHP
  
• Apache-Schwachstellen
  
• Bootstrap-Schwachstellen
  
• jQuery-Schwachstellen
  

Der Tenable.io-Scanner hat eine gute Leistung erbracht und viele Sicherheitslücken gefunden . Die Arbeit damit wird durch eine praktische grafische Oberfläche und Datenpräsentation vereinfacht. Ein weiteres Plus ist das Vorhandensein zusätzlicher Scan-Profile, in die wir uns bisher entschieden haben, nicht zu vergraben. Ein wichtiges Merkmal ist die Cloud-Service-Struktur. Einerseits verwendet der Dienst keine lokalen Computerressourcen eines funktionierenden Computers. Andererseits können Webanwendungen im lokalen Netzwerk nicht gescannt werden.

Burp Suite Pro

Burp Suite ist eine vollständige Lösung zur Überprüfung von Webanwendungen. Es enthält eine Vielzahl von Dienstprogrammen zur Verbesserung und Beschleunigung der Suche nach Schwachstellen in Webanwendungen.

Burp Suite verfügt über die folgenden Dienstprogramme:

• Proxy - Ein Proxyserver, der Datenverkehr abfängt, der über das HTTP (S) -Protokoll im Man-in-the-Middle-Modus geleitet wird. Mit diesem Dienstprogramm können Sie zwischen dem Browser und der Zielwebanwendung den Datenverkehr in beide Richtungen abfangen, untersuchen und ändern.
  
• Spider ist eine Webspinne, die automatisch Informationen über den Inhalt und die Funktionalität einer Anwendung (Webressource) sammelt.
  
• Scanner (nur in Burp Suite Pro) - Ein Scanner zur automatischen Suche nach Schwachstellen in Webanwendungen.
  
• Intruder - ein flexibles Dienstprogramm, mit dem Sie automatisch Angriffe verschiedener Art ausführen können. Zum Beispiel das Durchlaufen von Bezeichnern, das Sammeln wichtiger Informationen und vieles mehr.
  
• Repeater ist ein Tool zum manuellen Ändern und erneuten Senden einzelner HTTP-Anforderungen sowie zum Analysieren von Anwendungsantworten.
  
• Der Sequenzer ist ein Dienstprogramm zum Analysieren zufälliger Anwendungsdaten, um den Algorithmus für deren Generierung vorhersagen zu können.
  
• Decoder ist ein Dienstprogramm zum manuellen oder automatischen Codieren und Decodieren von Anwendungsdaten.
  
• Der Vergleicher ist ein Werkzeug zum Auffinden visueller Unterschiede zwischen zwei Datenvariationen.
  
• Extender - ein Tool zum Hinzufügen von Erweiterungen zur Burp Suite
  

Das Scanner-Dienstprogramm wird auf der gleichnamigen Registerkarte des Hauptfensters des Burp Suite-Programms angezeigt. Die Benutzeroberfläche ist englischsprachig, aber wen kann das jetzt abschrecken?



Die Registerkarte Problemdefinition enthält eine vollständige Liste aller Schwachstellen, die dieser Scanner identifizieren kann. Es sei darauf hingewiesen, dass die Liste sehr beeindruckend ist.



Alle Schwachstellen sind in drei Kategorien unterteilt: hoch, mittel, niedrig. Es gibt auch eine Kategorie von Informationen, die Mechanismen zum Sammeln verschiedener nützlicher Informationen über die gescannte Ressource enthält.
Wenn Sie einen Scan im Fenster "Scan-Warteschlange" starten, können Sie den Fortschritt schrittweise beobachten. "Farbdifferenzierung von Hosen" ist vorhanden.



Auf der Registerkarte Optionen werden die grundlegenden Scaneinstellungen konfiguriert.



Der Einfachheit halber sind die Optionen in Kategorien unterteilt. Bei Bedarf erhalten Sie Hilfe für jede Kategorie direkt aus dem Einstellungsfenster.



Im Allgemeinen zeigte Burp Suite Pro ein gutes Ergebnis. Beim Scannen von php.testsparker.com wurden genügend Sicherheitslücken gefunden und klassifiziert, um die vollständige Kontrolle über die Webanwendung und ihre Daten zu erlangen. Dies sind OS Command Injection, SSTI und File Path Traversal.


Folgendes wurde auf premium.bgabank.com gefunden :
H: Cross-Site-Scripting (reflektiert)
M: SSL-Cookie ohne gesetztes sicheres Flag
M: SSL-Zertifikat (nicht vertrauenswürdig oder abgelaufen)
L: Cookie ohne gesetztes HttpOnly-Flag
L: Passwortfeld mit aktivierter automatischer Vervollständigung
L: Strenge Transportsicherheit nicht durchgesetzt

Wenn Sie Burp Suite häufig für das Web-Pentest verwenden , das Ökosystem mögen, aber die Suche nach Schwachstellen irgendwie automatisieren möchten , passt dieses Dienstprogramm perfekt in Ihr Arsenal .

Acunetix

Fazit - ein weiterer sehr guter kommerzieller Scanner . Es wird sehr aktiv durch Werbung beworben, aber Acutenix wäre ohne seine umfangreiche Funktionalität nicht erfolgreich gewesen. Zu den Schwachstellen, die ihm zur Erkennung zur Verfügung stehen, gehören alle Arten von SQL-Injection, Cross Site Scripting, CRLF-Injection und andere Freuden des Pentesters von Webanwendungen. Beachten Sie, dass Sie für ein qualitativ hochwertiges Scannen das richtige Profil auswählen müssen.

Die Dashboard-Oberfläche ist schön:



Alle identifizierten Schwachstellen werden traditionell in vier Kategorien unterteilt: Hoch, Mittel, Niedrig. Nun, und wo ohne die Kategorie Information, die laut Scanner alle interessanten Daten enthält.



Auf der Registerkarte Scans können wir den Fortschritt des Scannens und andere Diagnoseinformationen beobachten.



Nach Abschluss des Scans können wir auf der Registerkarte Sicherheitslücken feststellen, was und in welcher Menge gefunden wurde. Farbdifferenzierung vorhanden.

Im Test auf php.testsparker.com zeigte der Scanner ein gutes Ergebnis, aber mit premium.bgabank.com lassen Sie uns offen im Stich .



Acunetix bietet großartige Funktionen und ist geeignet, wenn Sie nach einer eigenständigen Lösung suchen . Die Weboberfläche ist einfach und übersichtlich, Infografiken und Berichte sehen gut verdaulich aus.Während des Scannens sind Fehlzündungen möglich, aber wie Tony Stark sagte: „Dies passiert Männern. Nicht oft. Einer von fünf. "

Allgemeine Ergebnisse

Und jetzt Schlussfolgerungen zu allen getesteten Scannern.

• OWASP ZAP hat uns gefallen. Empfohlen zur Verwendung.
  
• Wir empfehlen die Verwendung von W9scan als Hilfswerkzeug zur Ermittlung von Versionen und Diensten sowie potenzieller Angriffsmethoden.
  
• Wapiti erreicht OWASP ZAP nicht, aber wir haben besser gearbeitet als W9scan.
  
• Arachni ist nur ein Muss.
  
• Paros scannt schlecht und wir empfehlen es nicht.
  
• Tenable.io ist gut, es findet viele Schwachstellen. Es ist jedoch zu bedenken, dass es bewölkt ist.
  
• Burp Suite Pro empfehlen wir diejenigen, die das Burp Suite-Ökosystem mögen, aber keine Automatisierung haben.
  
• Acunetix ist für diejenigen gedacht, die einen Scanner als eigenständige Anwendung suchen.