Инструменты безопасности с открытым исходным кодом
Nikto: старый громкий веб-сканер, который стоит сохранить
Nikto — это ветеран сканера веб-серверов 2001 года, который никогда не умирал: он проверяет наличие опасных файлов, устаревших строк баннеров программного обеспечения, слабых мест конфигурации и нескольких сотен общих проблем, громко и в соответствии с буквой своего собственного баннера. Это не современный DAST — нет рендеринга JavaScript, нет логики рабочего процесса, а его результаты читаются как список карьеров, а не как оценка рисков. Мы сохраняем его таким, какой он есть: проверка работоспособности на уровне сервера с помощью одной команды, запуск которой ничего не требует и иногда выявляет что-то, что все пропустили.
Главное
- Команда состоит из одной строки: nikto -h target -o report.html плюс -Format csv или json, когда выходные данные подаются в инструмент, а не в глаза.
- Никогда сначала, всегда после разведки: Nikto отправляет сотни запросов, распознаваемых любой IDS; запустите его, когда известно, что громкость приемлема.
- Ожидайте массовых ложных срабатываний: баннеры устаревших версий и общие результаты проверок — это приглашения к проверке, а не результаты, о которых нужно сразу сообщать.
- Ценные случаи реальны: стандартные и опасные файлы (каталоги .git, архивы резервных копий, страницы phpinfo), слабые места SSL/TLS, утечки заголовков серверов: быстрые победы, которые упускают дешевые сканирования.
- Настройка с помощью категорий сканирования областей -T (0 загрузка файлов, 2 неправильная конфигурация, 3 раскрытие информации), чтобы тест запускал только тот класс, который вам нужен.
- Соедините это с отдельной проверкой каталогов: покрытие Nikto осуществляется на уровне сервера; обнаружение контента остается задачей специального инструмента.
- Режим мутации угадывает имена файлов по известным именам и продолжает находить старые серверы, которые никто не перепроверял, поэтому рассматривайте его как область взаимодействия, а не по умолчанию.
- Формирование авторизации остается скучным и важным: запускайте его только против хостов, входящих в область действия, потому что его отпечаток безошибочен, а громкость попадает на панели мониторинга клиента.
Заметка из практики
Nikto до сих пор находит /server-status на ящиках, установленных героями моего детства — и найти его стоит один запрос. Сканирование запускается только после того, как мы предупредим клиента, как будут выглядеть его информационные панели.
Частые вопросы
Nikto устарел по сравнению с современными сканерами?
Да, по возможностям, по полезности он сохраняется: при неправильных конфигурациях на уровне сервера, которые игнорирует современный DAST, он по-прежнему сохраняет свое существование с нулевыми затратами.
Можно ли его запустить скрытно?
Нет, и это так задумано: это громко, поэтому в планах взаимодействия указано, когда оно будет проводиться и кому будет сообщено заранее.
Nikto или OWASP ZAP для базового веб-сканирования?
Различные уровни: Nikto проверяет неправильные конфигурации сервера, ZAP выполняет сканирование на уровне приложений; многие люди используют оба, потому что ни один из них не закрывает полосу движения другого.
Почему бы просто не проверить вручную?
Ручные проверки масштабируются до нескольких хостов; клиентская база из пятидесяти серверов с известным программным обеспечением 2000-х годов — это именно то место, где принадлежит Nikto, использующий одну команду.
Как мы берём на себя инструменты безопасности с открытым исходным кодом
Это то, чем мы занимаемся каждый день: Профессионалы по инструментам тестирования на самом деле продолжают работать: сканеры, снифферы, взломщики и веб-прокси объясняют, как они используются в реальных заданиях — команды, флаги, выходные данные и место каждого из них в методологии. Наша услуга Тесты на проникновение и Безопасность серверов Linux закрывает задачу целиком — оценка, внедрение, круглосуточный мониторинг и экстренная реакция в течение 30 минут.