Alat Keamanan Sumber Terbuka
Nikto: Pemindai Web Lama yang Layak Disimpan
Nikto adalah pemindai server web veteran dari tahun 2001 yang tidak pernah mati: ia memeriksa file berbahaya, string spanduk perangkat lunak yang ketinggalan jaman, kelemahan konfigurasi, dan beberapa ratus masalah umum, dengan keras dan sesuai dengan spanduknya sendiri. Ini bukan DAST modern — tidak ada rendering javascript, tidak ada logika alur kerja, dan hasilnya terlihat seperti daftar tambang, bukan penilaian risiko. Kami menjaganya sebagaimana adanya: pembersihan kewarasan tingkat server dengan satu perintah tanpa biaya apa pun untuk menjalankannya dan terkadang menghasilkan sesuatu yang terlewatkan oleh semua orang.
Poin Utama
- Perintahnya adalah satu baris: nikto -h target -o report.html, plus -Format csv atau json ketika keluaran dimasukkan ke alat, bukan mata.
- Tidak pernah terlebih dahulu, selalu setelah pengintaian: Nikto mengirimkan ratusan permintaan yang dapat dikenali oleh IDS mana pun; jalankan ketika kenyaringan diketahui dapat diterima.
- Harapkan positif palsu dalam jumlah besar: spanduk versi lama dan hasil pemeriksaan umum adalah permintaan untuk diverifikasi, bukan temuan untuk dilaporkan secara langsung.
- Kasus nilainya nyata: file default dan berbahaya (direktori .git, arsip cadangan, halaman phpinfo), kelemahan SSL/TLS, kebocoran header server: kemenangan cepat yang terlewatkan oleh pemindaian murah.
- Menyetel dengan kategori pemindaian cakupan -T (0 unggahan file, 2 kesalahan konfigurasi, 3 pengungkapan informasi) sehingga pengujian hanya menjalankan kelas yang Anda perlukan.
- Pasangkan dengan pemeriksaan direktori secara terpisah: cakupan Nikto adalah tingkat server; penemuan konten tetap menjadi tugas alat khusus.
- Mode mutasi menebak nama file dari nama yang dikenal dan terus menemukan server lama tidak ada yang memeriksa ulang, jadi perlakukan itu sebagai cakupan keterlibatan, bukan default.
- Pembingkaian otorisasi tetap membosankan dan penting: jalankan hanya pada host dalam cakupan, karena sidik jarinya tidak dapat salah lagi dan kenyaringannya masuk ke dasbor pemantauan klien.
Catatan Lapangan
Nikto masih menemukan /server-status pada kotak yang dipasang oleh pahlawan masa kecil saya — dan menemukannya memerlukan satu permintaan. Pemindaian hanya berjalan setelah kami memperingatkan klien seperti apa tampilan dasbor mereka.
Pertanyaan Umum
Apakah Nikto ketinggalan jaman dibandingkan pemindai modern?
Dari segi kemampuan ya, dari segi kegunaannya tetap ada: untuk kesalahan konfigurasi tingkat server yang diabaikan oleh DAST modern, ia tetap dapat mempertahankannya tanpa biaya.
Bisakah itu dijalankan secara diam-diam?
Tidak, dan itu memang disengaja: itu keras, itulah sebabnya rencana keterlibatan menentukan kapan itu dijalankan dan siapa yang diberitahu sebelumnya.
Nikto atau OWASP ZAP untuk pemindaian web dasar?
Lapisan yang berbeda: Nikto menyapu kesalahan konfigurasi server, ZAP melakukan pemindaian tingkat aplikasi; banyak orang menjalankan keduanya karena tidak ada yang menutupi jalur yang lain.
Mengapa tidak memeriksa secara manual saja?
Pemeriksaan manual berskala ke beberapa host; kawasan klien yang terdiri dari lima puluh server dengan perangkat lunak terkenal tahun 2000-an adalah tempat di mana sapuan satu perintah Nikto berada.
Bagaimana Kinetikatech membantu dengan alat keamanan sumber terbuka
Kami telah menangani ini ratusan kali: Toolbox pengujian yang profesional tetap terisi: pemindai, sniffer, cracker, dan proxy web menjelaskan cara mereka digunakan dalam keterlibatan nyata — perintah, tanda, keluaran, dan posisi masing-masing dalam suatu metodologi. Dengan Penetration Test dan Keamanan Server Linux, Anda mendapat siklus lengkap: kami menilai, mengimplementasikan, memantau 24 jam, dan merespons dalam 30 menit saat itu penting.