כלי אבטחה בקוד פתוח
Nikto: סורק האינטרנט הישן והרועש ששווה לשמור
Nikto הוא סורק שרת האינטרנט הוותיק משנת 2001 שמעולם לא מת: הוא בודק קבצים מסוכנים, מחרוזות באנרים מיושנות של תוכנה, חולשות בתצורה וכמה מאות בעיות כלליות, בקול רם ואל הבאנר שלו. זה לא DAST מודרני - אין עיבוד Javascript, אין לוגיקת זרימת עבודה, והתוצאות שלו נקראות כמו רשימת מחצבה ולא הערכת סיכונים. אנחנו שומרים את זה כמו שהוא: סריקת שפיות ברמת שרת בפקודה אחת, שלא עולה כלום לרוץ ומדי פעם מגלה משהו שכולם פספסו.
נקודות עיקריות
- הפקודה היא שורה אחת: nikto -h target -o report.html, בתוספת -פורמט csv או json כאשר הפלט מזין כלי במקום עיניים.
- לעולם לא תחילה, תמיד לאחר סיור: Nikto יורה מאות בקשות שניתן לזהות על ידי כל IDS; הפעל אותו כאשר ידוע שעוצמת הקול היא מקובלת.
- צפו לתוצאות חיוביות שגויות בכמות גדולה: באנרים בגרסה מיושנת והתאמות בדיקה כלליות הן הנחיה לאימות, לא ממצאים לדווח ישירות.
- מקרי הערך הם אמיתיים: קבצי ברירת מחדל ומסוכנים (ספריות.git, ארכיוני גיבוי, דפי phpinfo), חולשות SSL/TLS, דליפות של כותרות שרת: ניצחונות מהירים שסריקות זולות מחמיצות.
- כוונון עם קטגוריות סריקה של היקפי -T (0 העלאת קבצים, 2 הגדרות שגויות, 3 חשיפת מידע) כך שבדיקה מריץ רק את המחלקה שאתה צריך.
- התאמה עם בדיקת ספריות בנפרד: הכיסוי של Nikto הוא ברמת השרת; גילוי תוכן נותר תפקידו של כלי ייעודי.
- מצב מוטציה מנחש שמות קבצים משמות ידועים וממשיך למצוא שרתים ישנים שאף אחד לא בדק מחדש, אז התייחס לזה כבעל היקף מעורבות, לא ברירת מחדל.
- מסגור הרשאות נשאר משעמם ומכריע: הפעל אותו מול מארחים בהיקף בלבד, מכיוון שלא ניתן לטעות בטביעת האצבע שלו והקולניות נוחתת על לוחות הניטור של הלקוח.
הערת שטח
Nikto עדיין מוצא /server-status על קופסאות שהותקנו על ידי גיבורי ילדותי - ולמצוא את זה עולה בקשה אחת. הסריקה פועלת רק לאחר שאנו מזהירים את הלקוח כיצד ייראו לוחות המחוונים שלו.
שאלות נפוצות
האם Nikto מיושן בהשוואה לסורקים מודרניים?
ביכולת כן, בשימושיות זה נמשך: עבור תצורות שגויות ברמת השרת ש-DAST המודרני מתעלם מהן, הוא עדיין מרוויח את הכוח שלו בעלות אפסית.
האם ניתן להפעיל אותו בגניבה?
לא, וזה בתכנון: הוא רועש, וזו הסיבה שתוכניות אירוסין מציינות מתי הוא פועל ומי נאמר מראש.
Nikto או OWASP ZAP לסריקת אינטרנט בסיסית?
שכבות שונות: Nikto גורפת תצורות שגויות של השרת, ZAP מבצעת סריקה ברמת האפליקציה; אנשים רבים רצים את שניהם כי אף אחד לא מכסה את הנתיב של השני.
למה לא פשוט לבדוק ידנית?
בדיקות ידניות מותאמות למספר מארחים; אחוזת לקוח של חמישים שרתים עם תוכנת שנות האלפיים ידועה היא בדיוק המקום שבו שייך הסוויפ בפקודה אחת של Nikto.
איך Kinetikatech מסייעת לך ב-כלי אבטחה בקוד פתוח
זה מה שאנחנו עושים כל יום: אנשי המקצוע של ארגז הכלים לבדיקה ממשיכים לטעון: סורקים, סניפרים, קרקרים ופרוקסי אינטרנט הסבירו את האופן שבו הם משמשים בהתקשרויות אמיתיות - פקודות, דגלים, פלטים, והיכן כל אחד יושב במתודולוגיה. שירות בדיקות חדירה ואבטחת שרתי לינוקס שלנו מכסה את זה מקצה לקצה — הערכה, יישום, ניטור 24/7, ותגובה לחירום בתוך 30 דקות.