Vaivaiga nofoaga. Siakiina Website. Polokalama e vaai faavavevave i le nofoaga mo vaivaiga

mataupu saogalemu website leʻi i ai lava o matuitui e pei o le senituri lona 21. O le mea moni, o lenei ua tatau ona totogi i le faasalalauina atoa o le Initoneti i le toetoe lava uma alamanuia ma fanua. O aso uma, o loo maua hackers ma tagata tomai faapitoa faamalumaluga a nai vaivaiga fou nofoaga. Toatele i latou e vave tapunia tagata e umia ma developers, ae o nisi tumau e pei o le. Lea e faaaogā e le attackers. Ae e faaaoga ai se nofoaga hacked mafai ona mafua ai le afaina tele o faasalaga uma e lua ona tagata e faaaogaina ma le servers lea ua faaofuina.

Ituaiga o vaivaiga nofoaga

Afai e te faia itulau Uepi faaaogaina e le tele o tekinolosi faaeletoroni fesootai i ai. O nisi e lavelave ma le taimi-tofotofoina, ma o nisi e fou ma e lei ofuina. I soo se tulaga, o loo i ai le tele o ituaiga eseese o nofoaga o vaivaiga:

• XSS. Taitasi nofoaga ua i ai se pepa laiti. Latou te fesoasoani i tagata e faaaogāina ulu atu i faamatalaga ma maua se taunuuga, faamauina ua faia po o le auina savali. Suiga i le tulaga o tulaga faatauaina faapitoa e mafai ona faaosofia ai le faatinoina o se mau patino, lea e mafai ona mafua ai se solia o le faamaoni o le nofoaga ma le fetuutuunai o faamatalaga.
• SQL-tui. A taatele ma lelei auala e maua ai le avanoa i faamatalaga e le faalauaiteleina. O lenei e mafai ona tupu e ala mai le pa tuatusi, po o le ala o le pepa faatumu. ua faia i le faagasologa i le suia o tulaga faatauaina e le mafai ona filtered scripts ma fesili o le nofoaga autu o faamatalaga. Ma i le malamalama e tatau ai e mafai ona mafua ai se solia le saogalemu.

• HTML-mea sese. E toetoe lava o le tasi e pei o lena o le XSS, ae le tamau code faamatalaga, ma HTML.
• O le vaivaiga o nofoaga e fesootai ma le tulaga o faila ma tusitaiala i nofoaga faaletonu. Mo se faataitaiga, i le iloa o le faatulagaga o itulau o le initaneti, e mafai ona oo atu i le code vaega pulega.
• Lava le puipuiga o le faatulagaga o le faagaoioia faiga i luga o le faigaluega. Pe afai ei ai, o le taimi nei le faatamaia gofie, lea e tatau ona mafai e le attacker e faaoo code soʻona faia.
• passwords leaga. O se tasi o vaivaiga sili ona manino nofoaga - faaaogaina faatauaina vaivai ina ia puipuia o latou teugatupe. Aemaise lava pe afai o se pule.
• faatumulia Buffer. E faaaogaina pe suia faamatalaga mai le manatua, ina ia e mafai ona e faia a latou lava suiga. E tupu mai pe a le i ai o polokalama atoatoa.
• Suia vaega o lou nofoaga. Recreating se kopi tonu o le website e logging atu i le tagata e faaaogāina e le mafai ona masalomia se togafiti ma ulu atu i lou faamatalaga auiliili patino, ina ua mavae nisi attacker taimi tufaina.
• Faafitia o le auaunaga. E masani lava e malamalama i lenei vaitaimi e le osofaiga i luga o le faigaluega pe a maua e se vaega tele o talosaga e le mafai ona taulimaina, ma na "toulu ni" po o ua avea le mafai ona auauna atu i nei tagata e faaaogāina. O le vaivaiga o loo taoto i le mea moni e faapea e le configured lelei se faamama IP.

Vaivaiga e faitau vave Nofoaga

faia faapitoa Security a le sueina o tusi faapitoa o le punaoa web mo mea sese ma faaletonu e mafai ona taitai e le faapapaina. O nofoaga faamaoniga taʻua pentesting. O le faagasologa o le iloiloga le code puna faaaogaina e le CMS, le afioaga o le modules nofouta ma le tele o isi tofotofoga manaia.

SQL-tui

O lenei ituaiga o suesuega o nofoaga e iloa ai pe goto le tala i tulaga faatauaina mauaina i le sauniuniga o le talosaga i le nofoaga autu o faamatalaga. Taitaia se suega faigofie e mafai ona avea manually. Auala e maua SQL vaivaiga i luga o le nofoaga? O le a talanoaina.

Mo se faataitaiga, ei ai se nofoaga o loʻu-sayt.rf. I lona itulau pito i luma ua i ai se lisi. Alu i ai, e mafai ona maua i le tuatusi pa o se mea e pei o loʻu-sayt.rf /? Product_id = 1. E foliga mai o se talosaga lenei i le nofoaga autu o faamatalaga. Ina ia maua se e mafai ona taumafai muamua vaivaiga nofoaga e suitulaga i le laina se upusii e tasi. O se taunuuga, e tatau i loʻu-sayt.rf /? Product_id = 1 '. Afai e te fetaomi atu i le "Ulu Atu" faamau i luga o le itulau, o se savali o le mea sese, o loo i ai le faatamaia gofie.

O lenei e mafai ona e faaaogaina filifiliga eseese mo le filifiliga o tulaga faatauaina. e faagaoioia tuufaatasiga faaaoga tuusaunoaga, e faaali atu ma le tele o isi.

XSS

O lenei ituaiga o vaivaiga e mafai ona avea ma o ituaiga e lua - toaga ma e aunoa ma galuega.

Active lona uiga o le faatomuaga o se fasi code i le nofoaga autu o faamatalaga po o le faila i le faigaluega. E sili atu le matautia ma le mautinoa.

e aofia ai auala e aunoa ma galuega luring le tagata i se saunoaga faapitoa o le nofoaga o loo i ai code leaga.

mafai ona gaoi faaaogaina attacker XSS kuki. Ma ua latou mafai ona aofia ai faamatalaga e faaaogāina taua. E oo lava i taunuuga sili atu le ogaoga o ua gaoia sauniga.

Foi, o le attacker mafai ona e faaaogaina le faamatalaga i luga o le nofoaga ina ia fausia i le taimi o le auina atu tuuina atu e le tagata e faaaogāina le faamatalaga tuusao i le lima o se attacker.

Faʻaautomatika o le faagasologa o suesuega

O le fesootaiga e mafai ona maua le tele o manaia scanners vaivaiga nofoaga. O nisi e oo mai lava, o nisi e oo mai i le tele o tutusa ma tuufaatasia i totonu o se faatusa e tasi, e pei o Kali Linux. A faaauau pea ona tuuina atu se aotelega o le meafaigaluega sili ona lauiloa i faʻaautomatika le faagasologa o le aoina o faamatalaga e uiga i vaivaiga.

Nmap

O le scanner vaivaiga website sili ona faigofie e mafai ona faaali atu auiliiliga e pei o le uafu faaaogaina faiga faagaoioia ma auaunaga. talosaga masani:

nmap -sS 127.0.0.1, lea nai lo le e manaomia ai le tuatusi IP lotoifale e suia le moni nofoaga suega.

Faaiuga lipoti i luga o le mea o loo e sola auaunaga i ai, ma o le taulaga o loo matala i lenei taimi. Tusa ai ma lenei faamatalaga, e mafai ona e taumafai e faaaoga uma ona faailoa vaivaiga.

O nisi nei o ki i se faaituau e faitau vave nmap:

• -O. tagai vave faigata e lafoaia ai le tele o faamatalaga, ae e ono umi se taimi tele.
• -O. O loo taumafai e faailoa le faiga faagaoioia faaaogaina i lou faigaluega.
• -D. Spoof se lauga IP mai ua faia se siaki e pe a outou vaai i ai sa le mafai e faigaluega ogalaau e iloa ai le mea na tupu le osofaiga.
• -p. O le tele o uafu. Siakiina o le tele o auaunaga mo tatala.
• -S. E mafai ona e faamaoti le tuatusi IP saʻo.

WPScan

O lenei polokalama o le faitau vave le nofoaga mo tulaga maaleale o aofia ai i le tufatufaina Kali Linux. Fuafuaina e siaki punaoa web i le WordPress CMS. ona tusia i Ruby, o lea e pei o taufetuli lenei:

./wpscan.rb --help Ruby. O lenei poloaiga o le a faaali filifiliga maua uma ma tusi.

e mafai ona faaaoga poloaiga e tamoe i se suega faigofie:

Ruby ./wpscan.rb --url some-sayt.ru

I se tulaga lautele WPScan - faigofie e faaaoga aoga e tofotofo ai lou nofoaga i luga o "wordpress" vaivaiga.

Nikto

nofoaga Polokalame siakiina mo vaivaiga, lea o loo maua foi i faletusi Kali Linux. E maua ai gafatia mamana mo lona faigofie uma:

• maliega faafeagaiga e faitau vave i HTTP ma HTTPS;
• bypassing tele meafaigaluega fausia-mauaina;
• le faitauina o le taulaga tele, e oo lava i le tele o ni tulaga faatonuina;
• lagolagoina ai le faaaogaina o servers sui;
• e mafai ona faatino ma sootaga momono-ins.

Ina ia amata manaomia nikto ua faapipii i le faiga perl. o loo faatinoina le auiliiliga faigofie e faapea:

perl nikto.pl -h 192.168.0.1.

O le polokalama e mafai ona "fafagaina" o se mau faila o loo lisiina i le tuatusi faigaluega Uepi:

perl nikto.pl -h file.txt

O lenei meafaigaluega a le gata fesoasoani polofesa saogalemu e faafoe Pentest, ae fesootaiga pule ma punaoa e faatumauina le nofoaga o le soifua maloloina.

Suite Burp

O se meafaigaluega mamana lava e siaki le gata o le nofoaga, ae o le mataituina o so o se fesootaiga. Ua na pasia a fausia-i galuega tauave a le talosaga o fesuiaiga i le faigaluega suega. scanner Smart mafai ona otometi vaai mo le tele o ituaiga o vaivaiga i le taimi e tasi. E mafai ona faaolaina ai le taunuuga o le gaoioiga i le taimi nei ma toe amata ai. Fetuutuunai e le gata faaaoga vaega lona tolu momono-ins, ae faapea foi ona tusi au lava.

Le aoga ei ai lona lava Ofisa o tagata e faaaogāina graphical, lea e talafeagai mautinoa lava, aemaise lava mo tagata e faaaogaina novice.

SQLmap

Atonu o le meafaigaluega sili ona faigofie ma le mamana mo le sailia vaivaiga SQL ma XSS. e mafai ona faamatalaina lisi lona lelei e pei o:

• Support toetoe lava ituaiga uma o nofoaga autu o faamatalaga o faiga tau pulega;
• le tomai e faaaoga auala faavae e ono e iloa ai le talosaga ma SQL-tui;
• Tagata e faaaogāina busting faiga, latou hashes, passwords ma isi faamatalaga.

Ao lei faaaogaina SQLmap masani lava ona maua muamua se nofoaga vaivai ala a dork - avanoa afi suesuega fesili e fesoasoani ia te oe vele mai le web talafeagai punaoa fuafuaina.

Ona le tuatusi o le itulau e faaliliuina atu i le polokalama, ma e inspects. Afai e faamanuiaina, o le faamatalaga o vaivaiga aoga e mafai ona lava ma lona faaaogaina ina ia maua ai avanoa atoatoa i le punaoa.

Webslayer

A aoga laiti e mafai ai ona osofaia malosi fia malosi. Mafai ona "faamamaluina fia malosi" ituaiga o le olaga, o le sauniga o le faataamilosaga o le saite. E lagolagoina e eseese threading, lea e aafia ai e sili ona lelei le faatinoga o galuega. E mafai foi ona filifili passwords faatietie leisi recursively itulau. E i ai se lagolago sui.

Punaoa mo le siakiina

I le fesootaiga o loo i ai ni meafaigaluega e tofotofo le faatamaia gofie o nofoaga luga o le initoneti:

• coder-diary.ru. nofoaga faigofie mo le suʻega. E ulu atu i le tuatusi, o le punaoa ma kiliki i le "siaki". O le suesuega e mafai ona umi se taimi, ina ia mafai ona faamaoti lau imeli saunoaga ina ia mafai ona oo mai i le faaiuga o le taunuuga tuusao i le suega drawer. o loo i ai e uiga i le 2,500 vaivaiga iloa i le nofoaga.
• https://cryptoreport.websecurity.symantec.com/checker/. siaki Auaunaga luga o le initoneti mo SSL ma tusi faamaonia TLS mai le kamupani Symantec. E manaomia ai na o le lauga, o le punaoa.
• https://find-xss.net/scanner/. Le galuega faatino o se faila PHP ese scans uepisaite mo vaivaiga po o archive ZIP. E mafai ona faamaoti mai le ituaiga o faila ina ia kopiina ma faatusa, ua puipuia e ala i le faamatalaga i le tala.
• http://insafety.org/scanner.php. Scanner e tofotofo nofoaga i luga o le faavae "1C-Bitrix". Ofisa faigofie ma tupu fua.

O le algorithm mo le faitauina mo vaivaiga

So o se fesootaiga saogalemu faapitoa faia se siaki i se algorithm faigofie:

1. I le taimi muamua manually po o le faaaogaina o meafaigaluega otometi iloilo pe oi ai ni vaivaiga i le initoneti. Afai o le ioe, ona fuafuaina o latou ituaiga.
2. E faalagolago i le ituaiga fausia vaivaiga nei gaoioiga isi. Mo se faataitaiga, pe afai tatou te iloa le CMS, lea o le filifilia o auala talafeagai o osofaiga. Afai o se SQL-tui, o le faafesili i filifilia i le nofoaga autu o faamatalaga.
3. O le faamoemoega autu o le maua o avanoa faamanuiaina i le vaega o le pulega. Afai e le mafai ona ausia lea tulaga, atonu e aoga e taumafai ma faia se saunoaga i se taufaasese i le faatomuaga o lana faamatalaga ma le tuuina atu o le tagata manua.
4. Afai o so o se osofaiga po o tui ua lē mafai, e amata aoina faamatalaga: o loo i ai e sili atu vaivaiga lea faaletonu o loo iai.
5. Faavae i le faamatalaga saogalemu tomai faapitoa fai mai ai le tagata e ona nofoaga e uiga i faafitauli ma auala e foia i latou.
6. ua aveesea vaivaiga ma ona lima po o le fesoasoani a matai vaega lona tolu.

O ni nai fautuaga saogalemu

O i latou e le tagata lava ia atiina ae lona lava website, o le a fesoasoani lenei fautuaga faigofie ma togafiti.

e tatau ona filtered faamatalaga fafati ina ia le scripts po faafesili i le mafai ona taufetuli tu-toatasi po o le tuuina atu o faamatalaga mai le nofoaga autu o faamatalaga.

Faaaoga passwords faigata ma malolosi e maua le laulau pulega, ina ia alofia ai se malosi fia malosi e mafai ai.

Afai o loo faavae le website i luga o se le CMS, e tatau i se taimi vave e pei ona faamaonia plugins, e mafai ona faafou soo templates ma modules ai ma faaaoga. Aua le anoanoai le nofoaga ma vaega talafeagai.

E masani ona siaki ai le ogalaau faigaluega mo so o se mea na tutupu masalomia po o faatinoga.

Siaki lou lava nofoaga ni scanners ma auaunaga.

O le configuration faigaluega saʻo - o le ki lea i lona faagaoioiga fale o manu ma le saogalemu.

Afai e mafai, faaaoga se tusi faamaonia SSL. O le a taofia interception o faamatalaga patino po o le faalauaiteleina le va o le tagata faigaluega ma le tagata e faaaogāina.

Meafaigaluega mo le saogalemu. E maua ai lagona e faapipii po o fesootai le polokalama e taofia ai le faaleagaina ma taufaamatau mai fafo.

iʻuga

O le mataupu liliu displacement lelei, ae e tusa lava e le lava e faamatala auiliili vaega uma o le saogalemu o fesootaiga. E feagai ma le faafitauli o le faamatalaga o le saogalemu, e tatau e suesue a le tele o mea ma faatonuga. Ma foi e aoao ai se vaega o meafaigaluega ma tekinolosi. E mafai ona e saili fautuaga ma le fesoasoani mai o kamupani tomai faapitoa e faapitoa i Pentest ma le sueina o tusi o punaoa web. E ui lava o nei auaunaga, ma o le a liliu i se aofaiga lelei, e mafai ona sili atu ona taugata le saogalemu o le tasi nofoaga uma i le tulaga o le tamaoaiga ma i reputational.