database di URL utilizzati dagli strumenti di penetrazione

2

Quando qualcuno sta usando uno strumento di test di penetrazione sul mio sito a volte riesco a scoprire quale strumento è quello osservando le stringhe di user agent nei log. Ma a volte non posso perché lo strumento utilizza l'agente utente di un browser.

Esiste un database con pattern URL comuni utilizzati da ogni strumento di penetrazione?

Ad esempio, ecco alcuni URL per i quali mi piacerebbe sapere quale strumento è stato utilizzato:

/server-info
/jmx-console/HtmlAdaptor?action=inspectMBean&name=jboss.system:type%3DServer
/Account/Register.aspx?ReturnUrl=
/roller-ui/login.rol?pageTitle=${new%20java.lang.Integer(100244%2b99553)}
/solr/select/?q=test
    
posta cherouvim 05.12.2014 - 11:39
fonte

2 risposte

1

In tutti i tuoi esempi, tali URI possono (o, beh, dovrebbero) essere generalmente raggiunti da ogni strumento di test di penetrazione. La maggior parte degli strumenti come gli scanner di sicurezza delle applicazioni Web (e spesso anche i proxy di sicurezza delle applicazioni Web) implementano un crawler (a volte chiamato spider).

I crawler eseguono l'estrazione dei collegamenti. L'estrazione dei link può essere sottoposta a benchmark utilizzando uno strumento come WIVET . Alcuni strumenti eseguono l'invio automatico di moduli o utilizzano l'injection fault. A volte è possibile utilizzare strumenti di test di penetrazione della firma basati su queste ultime informazioni. Ad esempio, Burp Suite invia moduli che spesso contengono il nome Peter Wiener .

Non sottovalutare il potere degli avversari di negarti o ingannarti. Identificare le armi advesary è una pratica militare comune chiamata TECHINT . Potrebbe essere che un avversario voglia che tu pensi che lui o lei stia eseguendo un determinato strumento quando non lo sono - e potrebbe essere che stiano notando che le difese stanno cambiando a block il loro strumento specifico, quindi una risposta avversaria sarebbe tipicamente quella di cambiare le cose, cioè utilizzare strumenti diversi.

AGGIORNAMENTO (dopo i commenti del questionario sul perché e anche guardando di nuovo il suo elenco):

Basato sull'attacco URI roller-ui, questo è basato su un exploit per Apache Roller che fa affidamento sull'iniezione OGNL ( CVE- 2013-4212 ). L'exploit è stato scritto per Metasploit, ma basato su alcuni altri attacchi, come Solr select check , non posso concludere che Metasploit sia stato utilizzato contro il tuo sito web. Sembra che potrebbe essere uno strumento personalizzato. Stranamente, la vulnerabilità JBoss-console / HtmlAdaptor sembra essere CVE-2007-1157 , ma è uno strano controllo per CSRF rispetto agli altri che sono orientati verso l'esecuzione di codice remoto.

SECOND UPDATE - basato sui seguenti due post del blog, posso concludere che Acunetix controlla / solr / select, / server-info e /Account/Register.aspx?ReturnUrl:

risposta data 05.12.2014 - 16:19
fonte
0

Per questo non ci sarà un "database" perché è possibile modificare i parametri di ricerca predefiniti o crearne uno proprio.

Nella migliore delle ipotesi, una query del motore di ricerca probabilmente mostrerà altre persone che cercano di capire le stesse voci del registro.

D'altra parte, se vuoi sapere quali sono gli scanner di app Web gratuiti trovati per impostazione predefinita, puoi sempre semplicemente eseguire quegli scanner gratuiti da solo.

    
risposta data 05.12.2014 - 18:46
fonte

Leggi altre domande sui tag