Fahalementsika toerana. Website nanamarina. Program mba banjino ny toerana ho an'ny fahalementsika

tranonkala fiarovana olana dia tsy mba tahaka Matsilo toy ny tamin'ny taonjato faha-21. Mazava ho azy, izany dia noho ny feno fihanaky ny aterineto ao amin'ny ankamaroan'ny orinasa sy ny saha. Isan'andro, mpijirika sy ny fiarovana manam-pahaizana nahita toerana fahalementsika vaovao vitsivitsy. Maro tamin'izy ireo no avy hatrany mihidy tompon'ny sy ny mpandraharaha, fa ny sasany mbola toy izany. Izay ampiasaina ny mpanafika. Fa mampiasa ny nijirika toerana mety ho fahavoazana lehibe na ny mpampiasa sy ny lohamilina izay no mitoetra.

Karazam-toerana fahalementsika

Rehefa mamorona Web pejy ampiasain'ny be dia be ny teknolojia mifandray elektronika. Ny sasany dia be pitsiny sy tsy tontan'ny ela, ary ny sasany dia vaovao sy tsy mbola tonta. Na ahoana na ahoana, be dia be ny karazana toerana ny fahalementsika:

• XSS. Toerana tsirairay dia manana endrika kely. Manampy mpampiasa hiditra tahirin-kevitra sy hahazo Noho izany, dia fisoratana anarana dia tanterahina na mandefa hafatra. Fanoloana amin'ny endrika soatoavina manokana dia afaka hitarika ny famonoana ny anankiray soratra, izay mety hahatonga ny fandikana ny tamin'ny fahatsoran'ny nanaiky lembenana ny toerana sy ny tahirin-kevitra.
• SQL-tsindrona. A iombonana ka fomba mahomby mba hahazo ny fidirana amin'ny tsiambaratelo angona. Izany dia afaka mitranga na amin'ny alalan'ny fisotroana ny adiresy, na amin'ny alalan'ny teny. Ny dingana no ataon'ny solon'i ny soa toavina izay tsy azo voasivana soratra sy fangatahana ny banky angona. Ary ny fahalalana araka ny tokony mety hahatonga ny fiarovana tapaka.

• HTML-diso. Saika mitovy ny an'ny XSS, nefa tsy miorim-paka teny fehezan-dalàna, ary ny HTML.
• Ny marefo ny toerana mifandray amin'ny fametrahana ny antontan-taratasy sy ny Directories ao amin'ny toerana misy anao toerana. Ohatra, ny fahafantarana ny rafitry ny tranonkala pejy, dia afaka hanohina ny fitantanana tontonana fehezan-dalàna.
• Tsy fahampian'ny fiarovana ny fanamboarana ny rafitra miasa teo amin'ny lohamilina. Raha misy, ny marefo dia ankehitriny, dia ny mpanafika dia tokony ho afaka hanatanteraka jadona fehezan-dalàna.
• Bad tenimiafina. Ny iray amin'ireo toerana fahalementsika miharihary indrindra - mampiasa malemy soatoavina mba hiarovana ny kaonty. Indrindra raha toa ka ny mpitantana.
• Buffer vokatra. Tsy nampiasaina rehefa fanoloana angona avy ny fahatsiarovana, ka afaka manao ny fanovana. Izany miseho rehefa tsy lavorary ny anjara ny rindrambaiko.
• Fanoloana fizarana ny toerana. Recreating ny dika mitovy marina ny vohikala amin'ny alalan'ny miditra ao amin 'ny mpampiasa izay tsy azo ahiahiana ny fitaka sy ny hiditra ny tsipiriany manokana, rehefa mandalo fotoana fahavalony.
• Fandavana ny fanompoana. Amin'ny ankapobeny izany teny takatra tsara ny fanafihana ny lohamilina rehefa mandray Maro ny fangatahana izay tsy afaka mandray, ary fotsiny "latsaka", na lasa tsy afaka hanompo ireo mpampiasa. Ny marefo mifototra amin 'ny zava-misy fa ny IP sivana dia tsy araka ny tokony ho voaendrika.

Fahamoram-pahavoazana Scan Site

Security manam-pahaizana manokana nitarika manokana Hanaraha-maso ny aterineto sy ny harena ny Diso kilema izay mety hitarika ho amin'ny famoretana. Fanamarinana toy izany toerana antsoina hoe pentesting. Ny manadihady ny dingana ampiasain'ny mari-tomboky ny CMS, ny fisian'ny Modules mafampàna sy ny maro hafa mahaliana fitsapana.

SQL-tsindrona

Io karazana fitsapana toerana mamaritra ny teny midina raha ny nandray soa toavina ao amin'ny fanomanana ny fangatahana any amin'ny banky angona. Fitondran-tena tsotra dia mety ho fizahan-toetra tanana. Fomba hahitana SQL marefo an-toerana? Iza no hodinihina.

Ohatra, misy toerana ahy-sayt.rf. Ao amin'ny pejy anoloan'ny manana katalaogy. Niakatra ho any an izany, dia afaka ho hita ao amin'ny adiresy zavatra toy ny bara-sayt.rf /? Product_id = 1. Azo inoana fa izany no fangatahana ho amin'ny banky angona. Mba hahita ny fahalementsika toerana dia afaka miezaka ny hanoloana aloha ao amin'ny andalana iray notsongaina. Noho izany, mba ho Ahy-sayt.rf /? Product_id = 1 '. Raha mandroso ny "Enter" bokotra eo amin'ny pejy, fahadisoana hafatra, ny marefo misy.

Ankehitriny ianao dia afaka mampiasa safidy isan-karazany ho amin'ny fifantenana ny soatoavina. Nampiasa mitambatra mpandraharaha ankoatra ny tranga miavaka, fanehoan-kevitra sy ny maro hafa.

XSS

Io karazana marefo dia mety ho roa karazana - mavitrika sy ny atao.

Active dia midika hoe ny fampidirana ny tapa-fehezan-dalàna ao amin'ny banky angona na eo amin'ny antontan-taratasy eo amin'ny lohamilina. Tsy mampidi-doza kokoa sy ampoizina mihitsy.

Matoantenin'ny atao fomba Tafiditra nitaona ny niharam-boina any amin'ny adiresy manokana ny toerana izay misy fehezan-dalàna ratsy toetra.

Amin'ny alalan'ny fampiasana XSS mpanafika afaka hangalatra Cookies. Ary misy zava-dehibe mba antontan-kevitra mpampiasa. Tsarotra vokany kokoa no nangalatra fivoriana.

Koa, ny mpanafika dia afaka mampiasa ny teny ao amin'ny habaka, mba endrika tamin'ny fotoana fandefasana azy io no nanome ny vaovao ny mpampiasa mivantana eo an-tanan 'ny fahavalony.

Automatique ny dingana fikarohana

Ny tambajotra afaka mahita be dia be ny toerana mahaliana marefo skanera. Ny sasany tonga ihany, ny sasany avy amin'ny maro toy izany koa, ary natambatra ho iray sary, toy ny Kali Linux. Dia hanohy hanome topy maso ny fitaovana malaza indrindra mba automate ny dingana fanangonana vaovao momba ny fahalementsika.

Nmap

Ny mora indrindra marefo scanner tranonkala izay afaka maneho tsipiriany toy ny fandidiana sy ny seranan-tsambo rafitra ampiasaina tolotra. Miavaka fampiharana:

nmap -sS 127.0.0.1, izay eo an-toerana fa tsy adiresy IP Ilaina ny hanolo ny tena fitsapana toerana.

Famaranana tatitra amin'ny zavatra tolotra dia mihazakazaka teo amboniny, ary izay seranana misokatra amin'izao fotoana izao. Araka ny vaovao io, dia afaka manandrana mampiasa efa fantatra marefo.

Ireto misy vitsivitsy fanalahidy ho an'ny nmap Notarafina fitongilanana:

• FITEHIRIZAM-BOKIN'NY Vavolombelon'i. Mahery vaika fizahana izay dumped be dia be ny fanazavana, fa mety ho be ny fotoana.
• -o. Efa miezaka ny hamantatra ny rafitra fandidiana ampiasaina amin'ny mpizara.
• -D. Teny vilana ny adiresy IP izay ny maso no natao rehefa hijery sarotra ny lohamilina hazo mba hahafantarana izay nitranga ny fanafihana.
• -p. Ny isan-karazany seranana. Nanamarina tolotra maro ho an'ny misokatra.
• Nerlandey. Mamela anao mamaritra ny adiresy IP marina.

WPScan

Io fandaharana dia ny banjino ny toerana ho an'ny fahalementsika anisan'ny fizarana Linux Kali. Natao hijery aterineto loharano eo amin'ny WordPress CMS. voasoratra ao Ruby, dia mihazakazaka toy izao:

Ruby ./wpscan.rb --help. Izany didy rehetra dia mampiseho ny misy safidy sy ny taratasy.

Azo ampiasaina didy mba mihazakazaka ny fizahan-toetra tsotra:

Ruby ./wpscan.rb --url some-sayt.ru

Amin'ny ankapobeny WPScan - somary mora ampiasaina jiro mba hitsapana ny toerana amin'ny "WordPress" fahalementsika.

Nikto

Program toerana nanamarina ny fahalementsika, izay ihany koa Kali Misy amin'ny fizarana Linux. Manome fahaiza-manao mahery vaika ho an'ny rehetra, ny tsotra:

• Scan fifanarahana amin'ny HTTP sy HTTPS;
• nandika maro naorina-mamantatra fitaovana;
• scanning seranana maro, na dia ao anatin'ny tsy fitsipika isan-karazany;
• manohana ny fampiasana ny lohamilina taratasy fanomezam-pahefana;
• azo atao ho fampiharana sy ny fifandraisana plug-ins.

Hanomboka nikto mila ny rafitra efa nametraka Perl. Ny fanadihadiana tsotra dia tanterahina toy izao manaraka izao:

Perl nikto.pl -h 192.168.0.1.

Ny fandaharana dia azo "sakafo" ny andinin-teny rakitra izay mitanisa ny Web mpizara adiresy:

Perl nikto.pl -h file.txt

Fitaovana io dia tsy hanampy ny fiarovana matihanina ihany no mba hitarika Pentest, fa Network mpitantana sy loharanon-karena mba hihazonana ny fahasalamana toerana.

Burp Suite

Ny fitaovana mahery vaika indrindra mba tsy hijery ny vohikala, fa ny fanaraha-maso ny tambajotra rehetra. Efa iray naorina-in miasa ny fangatahana fanovana dia nandroso ny fitsapana mpizara. Smart scanner afaka avy hatrany mitady maro karazana fahalementsika indray. Azo atao ny hamonjy ny vokatry ny asa amin'izao fotoana izao, ary avy eo manohy azy. Manovaova ny tsy hampiasa antoko fahatelo-plug-ins, fa koa mba hanoratra anao manokana.

Ny jiro manana ny tsary ny mpampiasa interface tsara, izay azo antoka fa mety, indrindra fa ho an'ny mpampiasa fahaizana.

SQLmap

Angamba no tena mety sy ny fitaovana mahery vaika ho an'ny mitady SQL sy ny XSS fahalementsika. Ataovy lisitra ny tombony azo aseho toy ny:

• Support saika isan-karazany ny rafitra fitantanana banky angona;
• ny fahafahana mampiasa fomba fototra enina mba hamantarana ny fampiharana sy ny SQL-tsindrona;
• Users busting fomba, ny hashes, ny tenimiafina sy ny akora hafa.

Alohan'ny fampiasana matetika SQLmap voalohany nahita marefo toerana alalan'ny dork - fotsy QUERY fikarohana mba hanampy anao ahi-dratsy ny loharanon-karena tombanana ilaina tranonkala.

Ary ny adiresy ao amin'ny pejy dia nafindra tany amin'ny fandaharana, dia Mandinika. Raha mahomby, ny famaritana ny marefo jiro dia afaka ny tenany sy ny fampiasana ny hahazo tanteraka ny fidirana ho any amin'ny loharano.

Webslayer

Ny ilàna kely izay mamela anao hamely hery tsy manan-tsaina. Afaka "hery tsy manan-tsaina" endriky ny fiainana, ny fivoriana masontsivana ny toerana. Tsy manohana multi-Mampiditra Kofehy, izay misy fiantraikany ny fampisehoana dia tsara. Azonao atao ihany koa ny mifidy ny tenimiafina recursively nested pejy. Misy taratasy fanomezam-pahefana fanohanana.

Resources for fanamarinana

Ao amin'ny tambajotra misy fitaovana maro mba hizaha toetra ny marefo ny aterineto toerana:

• coder-diary.ru. Simple toerana ho an'ny fizahan-toetra. Fotsiny hiditra ny adiresy, ny loharano ary tsindrio eo amin'ny "Check". Ny fikarohana Mety ho ela, mba hahafahanao mamaritra ny adiresy mailaka mba ho avy amin'ny faran'ny ny vokatra mivantana tao amin'ny vatasarihana fitsapana. misy tokony ho fantatra 2500 fahalementsika ao amin'ny toerana.
• https://cryptoreport.websecurity.symantec.com/checker/. Service Online maso ny SSL sy TLS taratasy fanamarinana avy amin'ny orinasa Symantec. Mitaky ihany ny adiresy, ny loharano.
• https://find-xss.net/scanner/. Ny tetikasa dia misaraka PHP rakitra mitazana ny vohikala ho an'ny fahalementsika na ZIP tahiry. Azonao atao ny mamaritra ny karazana antontan-taratasy mba ho scanned sy fanehoana an'ohatra, izay arovan'ny ny antontan-kevitra ao amin'ny soratra.
• http://insafety.org/scanner.php. Scanner mba hitsapana toerana eo amin'ny sehatra "1D-Bitrix". Tsotra sy intuitive interface tsara.

Ny algorithm for scanning ny fahalementsika

Izay mety ho manam-pahaizana manokana ny fiarovana tambajotra manao ny manara-maso ny algorithm tsotra:

1. Tanana tamin'ny voalohany izany, na amin'ny alalan'ny fampiasana fitaovana mandeha ho azy mandinika na misy aza ny tsy an-tserasera marefo. Raha eny, dia izany no mamaritra ny karazana.
2. Arakaraka ny karazana marefo ankehitriny manorina hetsika bebe kokoa. Ohatra, raha fantatsika ny CMS, dia nifidy ny fomba mety ny fanafihana. Raha misy SQL-tsindrona, ny fanontaniana voafantina ho amin'ny banky angona.
3. Ny tena tanjona dia ny hahazoana tombontsoa ny fidirana ho any amin'ny tontonana-panjakana. Raha toa ka tsy azo atao ny hahazoana izany, angamba ilaina na tsia ny miezaka sy mamorona adiresy sandoka amin'ny fampidirana ny teny amin'ny famindrana ny manaraka ny niharam-boina.
4. Raha misy fanafihana na ny fidiran'ny levona, Manomboka manangona antontan-kevitra: Misy marefo kokoa, izay kilema no eo.
5. Miorina amin'ny fiarovana ny tahirin-kevitra, hoy ny manam-pahaizana momba ny olana tompon'ny toerana sy ny fomba handaminana azy ireo.
6. Fahalementsika dia esorina amin'ny ny tànany, na niaraka tamin'ny fanampian'ny antoko fahatelo-tompony.

Toro-hevitra vitsivitsy fiarovana

Ireo izay tena tranonkala dia manangana ny azy, dia hanampy izany soso-kevitra tsotra sy ny fitaka.

Incoming tahirin-kevitra dia tsy maintsy ho voasivana ka dia ny soratra na ny fanontaniana tsy afaka mihazakazaka mijoro, irery, na mba hanome angona avy amin'ny banky angona.

Ampiasao sarotra sy mafy tenimiafina mba hahazoana ny fitantanana tontonana, mba hialana amin'ny mety ho tsy manan-tsaina hery.

Raha ny vohikala dia mifototra amin'ny ny CMS, tokony raha vao voaporofo Plugins, môdely sy Modules matetika dia mety ho vaovao farany sy mampihatra azy io. Aza be loatra ny toerana amin'ny singa tsy ilaina.

Matetika jereo ny lohamilina hazo na inona na inona zava-mitranga na zavatra mampiahiahy.

Jereo ny skanera maro ny toerana sy ny tolotra.

Ny marina mpizara fanahafana - ny fanalahidin'ny tsy miovaova sy azo antoka ny fandidiana.

Raha azo atao dia ampiasao ny taratasy fanamarinana SSL. Izany dia hisorohana pifandraisan-manokana na tsiambaratelo rakitra eo amin'ny lohamilina sy ny mpampiasa.

Fitaovana ho an'ny fiarovana. Tsy misy dikany ny hametraka na mampifandray ny rindrambaiko mba tsy fitsabahana sy arahina fampitahorana.

famaranana

Ny lahatsoratra tsara niova ho famindram-ponenana, fa na dia tsy ampy mba hilazana amin'ny an-tsipiriany lafiny rehetra amin'ny tambajotra fiarovana. Mba hiatrehana ny olana ny fanazavana fiarovana, dia ilaina ny mianatra be dia be ny fitaovana sy ny toromarika. Ary koa mba hianatra ny bunch ny fitaovana sy ny teknolojia. Afaka mitady torohevitra sy fanampiana avy matihanina orinasa misahana ny fanaraha-maso tranonkala Pentest sy loharanon-karena. Na dia izany asa, ka hivadika ho tsara vola, toy izany koa ny fiarovana ny toerana dia mety ho lafo kokoa amin'ny ara-toekarena sy amin'ny reputational teny.