Sigurnosni alati otvorenog koda
Nikto: glasan stari web skener koji vrijedi zadržati
Nikto je veteranski skener web poslužitelja iz 2001. godine koji nikada nije umro: provjerava ima li opasnih datoteka, zastarjelih softverskih banner nizova, konfiguracijskih slabosti i nekoliko stotina generičkih problema, glasno i doslovce vlastitog bannera. To nije moderan DAST — nema javascript renderiranja, nema logike tijeka rada, a njegovi se rezultati čitaju kao popis kamenoloma, a ne kao procjena rizika. Zadržavamo ga onakvim kakav jest: pregled ispravnosti na razini poslužitelja s jednom naredbom čije pokretanje ne košta ništa i povremeno pojavi nešto što je svima promaklo.
Ključne točke
- Naredba je jedan redak: nikto -h target -o report.html, plus -Format csv ili json kada izlaz šalje alat umjesto očiju.
- Nikada prvi, uvijek nakon izviđanja: Nikto ispaljuje stotine zahtjeva koje može prepoznati bilo koji IDS; pokrenite ga kada se zna da je glasnoća prihvatljiva.
- Očekujte masovne lažne rezultate: banneri zastarjele verzije i generička provjera upita su za provjeru, a ne otkrića za izravnu prijavu.
- Slučajevi vrijednosti su stvarni: zadane i opasne datoteke (.git direktoriji, sigurnosne arhive, phpinfo stranice), slabosti SSL/TLS-a, curenje zaglavlja poslužitelja: brze pobjede koje jeftino skeniranje propušta.
- Podešavanje s -T opsegom skenira kategorije (0 prijenos datoteke, 2 pogrešna konfiguracija, 3 otkrivanje informacija) tako da test pokreće samo klasu koja vam je potrebna.
- Uparite ga s zasebnom provjerom imenika: Nikto pokriva na razini poslužitelja; otkrivanje sadržaja ostaje posao namjenskog alata.
- Način mutacije pogađa nazive datoteka iz poznatih imena i stalno pronalazi stare poslužitelje koje nitko nije ponovno provjerio, stoga ga tretirajte kao opseg angažmana, a ne kao zadani.
- Uokvirivanje autorizacije ostaje dosadno i ključno: pokrenite ga samo protiv hostova unutar opsega, jer je njegov otisak nepogrešiv, a glasnoća pada na nadzorne ploče klijenta.
Terenska bilješka
Nikto još uvijek pronalazi /server-status na kutijama koje su instalirali moji junaci iz djetinjstva — a njegovo pronalaženje košta jedan zahtjev. Skeniranje se pokreće tek nakon što upozorimo klijenta kako će njegove nadzorne ploče izgledati.
Često postavljana pitanja
Je li Nikto zastario u usporedbi s modernim skenerima?
Što se tiče sposobnosti da, što se tiče korisnosti, ustraje: za pogrešne konfiguracije na razini poslužitelja koje moderni DAST ignorira, još uvijek zarađuje svoje zadržavanje bez troškova.
Može li se pokrenuti tajno?
Ne, i to je dizajnirano: glasno je, zbog čega se u planovima angažmana navodi kada se pokreće i tko se unaprijed obavještava.
Nikto ili OWASP ZAP za osnovno web skeniranje?
Različiti slojevi: Nikto briše pogrešne konfiguracije poslužitelja, ZAP skenira na razini aplikacije; mnogi ljudi trče oboje jer nijedan ne pokriva traku drugoga.
Zašto jednostavno ne provjerite ručno?
Ručne provjere skaliraju se na nekoliko hostova; klijentsko imanje od pedeset poslužitelja sa poznatim softverom iz 2000-ih upravo je mjesto gdje pripada Niktovo čišćenje jednom naredbom.
Kako Kinetikatech pomaže kod sigurnosni alati otvorenog koda
Iskreno, većina timova dođe do nas nakon što su prvo pokušali sami: Profesionalci s alatima za testiranje zapravo drže punim: skeneri, snifferi, krekeri i web proxyji objasnili su način na koji se koriste u stvarnim angažmanima — naredbe, oznake, izlazi i mjesto svakog od njih u metodologiji. Naša usluga Testovi prodiranja i Sigurnost Linux servera postoji da se ne morate upoznavati s sigurnosni alati otvorenog koda na teži način; mi se brinemo o puštanju u rad, nadzoru i iznenađenjima u tri ujutro.