Herramientas de seguridad de código abierto
Nikto: el viejo y ruidoso escáner web que vale la pena conservar
Nikto es el veterano escáner de servidores web de 2001 que nunca murió: busca archivos peligrosos, cadenas de banners de software desactualizados, debilidades de configuración y varios cientos de problemas genéricos, en voz alta y al pie de la letra de su propio banner. No es un DAST moderno: no tiene representación de JavaScript, no tiene lógica de flujo de trabajo y sus resultados se leen como una lista de canteras en lugar de una evaluación de riesgos. Lo mantenemos como lo que es: un barrido de cordura a nivel de servidor de un solo comando cuya ejecución no cuesta nada y ocasionalmente muestra algo que todos se perdieron.
Puntos clave
- El comando es una línea: nikto -h target -o report.html, más -Formato csv o json cuando la salida alimenta una herramienta en lugar de ojos.
- Nunca primero, siempre después del reconocimiento: Nikto dispara cientos de solicitudes reconocibles por cualquier IDS; ejecútelo cuando se sepa que el volumen es aceptable.
- Espere falsos positivos en masa: los banners de versiones desactualizadas y los resultados de verificación genéricos son indicaciones para verificar, no hallazgos para informar directamente.
- Los casos valiosos son reales: archivos predeterminados y peligrosos (directorios .git, archivos de respaldo, páginas phpinfo), debilidades de SSL/TLS, fugas de encabezados de servidor: ganancias rápidas que los escaneos baratos pierden.
- Ajuste con categorías de escaneo de ámbitos -T (0 carga de archivos, 2 configuraciones incorrectas, 3 divulgación de información) para que una prueba ejecute solo la clase que necesita.
- Combínelo con la verificación de directorio por separado: la cobertura de Nikto es a nivel de servidor; El descubrimiento de contenido sigue siendo el trabajo de una herramienta dedicada.
- El modo de mutación adivina nombres de archivos a partir de nombres conocidos y sigue encontrando servidores antiguos que nadie volvió a verificar, así que trátelo como un ámbito de participación, no predeterminado.
- El encuadre de autorización sigue siendo aburrido y crucial: ejecútelo solo contra hosts dentro del alcance, porque su huella digital es inconfundible y el volumen llega a los paneles de monitoreo del cliente.
Nota de campo
Nikto todavía encuentra /server-status en las cajas instaladas por mis héroes de la infancia, y encontrarlo cuesta una solicitud. El análisis se ejecuta solo después de que le advertimos al cliente cómo se verán sus paneles.
Preguntas frecuentes
¿Nikto está desactualizado en comparación con los escáneres modernos?
En capacidad sí, en utilidad persiste: para las configuraciones erróneas a nivel de servidor que el DAST moderno ignora, aún se gana la vida sin costo alguno.
¿Se puede ejecutar de forma sigilosa?
No, y eso es por diseño: es ruidoso, razón por la cual los planes de participación especifican cuándo se ejecutará y a quién se le informará con anticipación.
¿Nikto u OWASP ZAP para escaneo web básico?
Diferentes capas: Nikto barre las configuraciones erróneas del servidor, ZAP realiza un escaneo a nivel de aplicación; mucha gente corre en ambos porque ninguno cubre el carril del otro.
¿Por qué no comprobarlo manualmente?
Las comprobaciones manuales se escalan a unos pocos hosts; un conjunto de clientes de cincuenta servidores con software conocido de los años 2000 es exactamente donde pertenece el barrido de un solo comando de Nikto.
Cómo ayuda Kinetikatech con herramientas de seguridad de código abierto
La propuesta es sencilla: Los profesionales de la caja de herramientas de prueba en realidad se mantienen cargados: escáneres, rastreadores, crackers y servidores proxy web explicaron la forma en que se utilizan en interacciones reales: comandos, indicadores, resultados y dónde se ubica cada uno en una metodología. Déjelo en manos de nuestro servicio Pruebas de penetración y Seguridad de servidores Linux y queda cubierto: evaluado a fondo, implementado con limpieza, monitoreado las 24 horas.