Інструменти безпеки з відкритим кодом
Nikto: гучний старий веб-сканер, який варто зберегти
Nikto — це ветеран сканера веб-серверів 2001 року, який ніколи не помер: він перевіряє наявність небезпечних файлів, застарілих рядків банерів програмного забезпечення, недоліків конфігурації та кількох сотень загальних проблем, голосно та буквально на власному банері. Це не сучасний DAST — немає відтворення JavaScript, немає логіки робочого процесу, і його результати сприймаються як список кар’єрів, а не оцінка ризику. Ми зберігаємо його таким, яким він є: перевірка працездатності на рівні сервера за допомогою однієї команди, яка не потребує жодних витрат і час від часу виявляє те, що всі пропустили.
Головне
- Команда складається з одного рядка: nikto -h target -o report.html, плюс -Format csv або json, коли вивід подає інструмент замість очей.
- Ніколи першим, завжди після розвідки: Nikto запускає сотні запитів, які розпізнає будь-який IDS; запустіть його, коли відомо, що гучність прийнятна.
- Очікуйте масових помилкових спрацьовувань: банери застарілих версій і загальні перевірки є підказками для перевірки, а не результатами, про які потрібно повідомляти прямо.
- Випадки цінності реальні: файли за замовчуванням і небезпечні файли (каталоги .git, архіви резервних копій, сторінки phpinfo), слабкі сторони SSL/TLS, витік заголовків сервера: швидкі виграші, яких упускають дешеві сканування.
- Налаштування за допомогою -T перевіряє категорії сканування (0 завантаження файлу, 2 неправильна конфігурація, 3 розкриття інформації), щоб тест запускав лише той клас, який вам потрібен.
- Поєднайте його з окремою перевіркою каталогу: покриття Nikto є серверним; виявлення вмісту залишається завданням спеціального інструменту.
- Режим мутації вгадує назви файлів із відомих імен і постійно знаходить старі сервери, які ніхто не перевіряв повторно, тому сприймайте його як режим взаємодії, а не як режим за замовчуванням.
- Фрейм авторизації залишається нудним і ключовим: запускайте його лише на хостах, які знаходяться в зоні дії, оскільки його відбиток безпомилковий, а гучність потрапляє на інформаційні панелі моніторингу клієнта.
Польова нотатка
Nikto досі знаходить /server-status на ящиках, встановлених героями мого дитинства — і його пошук коштує одного запиту. Сканування запускається лише після того, як ми попереджаємо клієнта, як виглядатимуть його інформаційні панелі.
Часті запитання
Чи Nikto застарів порівняно з сучасними сканерами?
У можливостях так, у корисності він зберігається: для неправильних конфігурацій на рівні сервера, які сучасний DAST ігнорує, він все ще заробляє на утримання без жодних витрат.
Чи можна ним керувати непомітно?
Ні, і це задумом: він гучний, тому в планах залучення вказується, коли він запускається та кому повідомляється заздалегідь.
Nikto чи OWASP ZAP для базового веб-сканування?
Різні рівні: Nikto очищає неправильні конфігурації сервера, ZAP виконує сканування на рівні програми; багато людей біжать обома, тому що жоден не покриває смугу іншого.
Чому б просто не перевірити вручну?
Ручні перевірки масштабуються до кількох хостів; п'ятдесят серверів клієнтів із відомим програмним забезпеченням 2000-х — саме те місце, де Nikto проводить одну команду.
Допомога Kinetikatech: інструменти безпеки з відкритим кодом
Ось у чому річ: Професіонали з інструментів тестування фактично постійно завантажені: сканери, сніфери, зломщики та веб-проксі пояснили, як вони використовуються в реальних залученнях — команди, позначки, виходи та місце кожного з них у методології. Передайте це службі Тести на проникнення та Безпека серверів Linux, і все буде закрито: грамотна оцінка, чисте впровадження, цілодобовий нагляд.