Ferramentas de segurança de código aberto
Nikto: O antigo e barulhento scanner da Web que vale a pena manter
Nikto é o scanner de servidor da web veterano de 2001 que nunca morreu: ele verifica arquivos perigosos, strings de banner de software desatualizados, pontos fracos de configuração e várias centenas de problemas genéricos, em voz alta e ao pé da letra de seu próprio banner. Não é o DAST moderno – sem renderização de javascript, sem lógica de fluxo de trabalho, e seus resultados parecem uma lista de pedreiras em vez de uma avaliação de risco. Nós o mantemos como ele é: uma varredura de integridade no nível do servidor de um comando que não custa nada para ser executada e ocasionalmente revela algo que todos perderam.
Pontos principais
- O comando é uma linha: nikto -h target -o report.html, mais -Format csv ou json quando a saída alimenta uma ferramenta em vez de olhos.
- Nunca primeiro, sempre depois do reconhecimento: Nikto dispara centenas de solicitações reconhecíveis por qualquer IDS; execute-o quando o volume for aceitável.
- Espere falsos positivos em massa: banners de versões desatualizadas e resultados de verificação genéricos são avisos para verificar, não descobertas para relatar diretamente.
- Os casos de valor são reais: arquivos padrão e perigosos (diretórios .git, arquivos de backup, páginas phpinfo), pontos fracos de SSL/TLS, vazamentos de cabeçalho de servidor: ganhos rápidos que varreduras baratas perdem.
- Ajuste com categorias de varredura de escopos -T (0 upload de arquivo, 2 configurações incorretas, 3 divulgação de informações) para que um teste execute apenas a classe que você precisa.
- Combine-o com a verificação de diretório separadamente: a cobertura do Nikto é no nível do servidor; a descoberta de conteúdo continua sendo um trabalho de ferramenta dedicada.
- O modo de mutação adivinha nomes de arquivos a partir de nomes conhecidos e continua encontrando servidores antigos que ninguém verificou novamente, portanto, trate-o como com escopo de engajamento, não como padrão.
- O enquadramento de autorização continua enfadonho e crucial: execute-o apenas em hosts dentro do escopo, porque sua impressão digital é inconfundível e o volume atinge os painéis de monitoramento do cliente.
Nota de campo
Nikto ainda encontra /server-status em caixas instaladas pelos meus heróis de infância - e encontrá-lo custa uma solicitação. A verificação é executada somente depois de avisarmos ao cliente como serão seus painéis.
Perguntas frequentes
O Nikto está desatualizado em comparação com os scanners modernos?
Em capacidade sim, em utilidade ele persiste: para configurações incorretas no nível do servidor que o DAST moderno ignora, ele ainda ganha seu sustento a custo zero.
Ele pode ser executado furtivamente?
Não, e isso é intencional: é barulhento, e é por isso que os planos de engajamento especificam quando serão executados e quem será avisado com antecedência.
Nikto ou OWASP ZAP para digitalização básica da web?
Diferentes camadas: Nikto varre configurações incorretas do servidor, ZAP faz varredura em nível de aplicativo; muitas pessoas correm ambos porque nenhum deles cobre a pista do outro.
Por que não verificar manualmente?
As verificações manuais são dimensionadas para alguns hosts; um conjunto de clientes de cinquenta servidores com software conhecido dos anos 2000 é exatamente onde pertence a varredura de um comando de Nikto.
Como a Kinetikatech ajuda com ferramentas de segurança de código aberto
É isto que fazemos todos os dias: Os profissionais da caixa de ferramentas de teste realmente se mantêm carregados: scanners, sniffers, crackers e proxies da web explicaram como são usados em compromissos reais - comandos, sinalizadores, saídas e onde cada um se enquadra em uma metodologia. Nosso serviço Testes de penetração e Segurança de servidores Linux cobre tudo de ponta a ponta: avaliação, implementação, monitoramento 24/7 e resposta de emergência em 30 minutos.