Italian - Ht
HackTricks Training Twitter Linkedin Sponsor

80,443 - Pentesting Web Methodology

Impara e pratica AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Impara e pratica GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Supporta HackTricks

Se sei interessato a una carriera nell'hacking e a hackare l'inhackabile - stiamo assumendo! (richiesta conoscenza fluente della lingua polacca scritta e parlata).

LogoCareers | stmcyber.com | penetration testingstmcyber.com

Informazioni di base

Il servizio web è il servizio più comune ed esteso e esistono molti tipi diversi di vulnerabilità.

Porta predefinita: 80 (HTTP), 443(HTTPS)

PORT    STATE SERVICE
80/tcp  open  http
443/tcp open  ssl/https
nc -v domain.com 80 # GET / HTTP/1.0
openssl s_client -connect domain.com:443 # GET / HTTP/1.0

Web API Guidance

Web API Pentesting

Methodology summary

In questa metodologia supponiamo che tu stia attaccando un dominio (o sottodominio) e solo quello. Quindi, dovresti applicare questa metodologia a ciascun dominio, sottodominio o IP scoperto con server web indeterminato all'interno dell'ambito.

Server Version (Vulnerable?)

Identify

Controlla se ci sono vulnerabilità note per la versione del server in esecuzione. Le intestazioni HTTP e i cookie della risposta potrebbero essere molto utili per identificare le tecnologie e/o la versione utilizzata. La scansione Nmap può identificare la versione del server, ma potrebbero essere utili anche gli strumenti whatweb, webtech o https://builtwith.com/:

whatweb -a 1 <URL> #Stealthy
whatweb -a 3 <URL> #Aggresive
webtech -u <URL>
webanalyze -host https://google.com -crawl 2

Search for vulnerabilities of the web application version

Controlla se ci sono WAF

Trucchi tecnologici web

Alcuni trucchi per trovare vulnerabilità in diverse tecnologie ben note utilizzate:

Tieni presente che il stesso dominio può utilizzare tecnologie diverse in porte, cartelle e sottodomini diversi. Se l'applicazione web utilizza qualche tech/platform ben nota elencata prima o qualsiasi altra, non dimenticare di cercare su Internet nuovi trucchi (e fammi sapere!).

Revisione del codice sorgente

Se il codice sorgente dell'applicazione è disponibile su github, oltre a eseguire un test White box dell'applicazione, ci sono alcune informazioni che potrebbero essere utili per il test Black-Box attuale:

  • C'è un file Change-log o Readme o Version o qualsiasi cosa con informazioni sulla versione accessibili via web?

  • Come e dove sono salvate le credenziali? C'è qualche file (accessibile?) con credenziali (nomi utente o password)?

  • Le password sono in testo semplice, crittografate o quale algoritmo di hashing è utilizzato?

  • Viene utilizzata qualche chiave master per crittografare qualcosa? Quale algoritmo è utilizzato?

  • Puoi accedere a uno di questi file sfruttando qualche vulnerabilità?

  • Ci sono informazioni interessanti su github (problemi risolti e non risolti)? O nella cronologia dei commit (forse qualche password introdotta in un vecchio commit)?

Source code Review / SAST Tools

Scanner automatici

Scanner automatici di uso generale

nikto -h <URL>
whatweb -a 4 <URL>
wapiti -u <URL>
W3af
zaproxy #You can use an API
nuclei -ut && nuclei -target <URL>

# https://github.com/ignis-sec/puff (client side vulns fuzzer)
node puff.js -w ./wordlist-examples/xss.txt -u "http://www.xssgame.com/f/m4KKGHi2rVUN/?query=FUZZ"

Scanner CMS

Se viene utilizzato un CMS non dimenticare di eseguire uno scanner, potrebbe essere trovato qualcosa di succoso:

Clusterd: JBoss, ColdFusion, WebLogic, Tomcat, Railo, Axis2, Glassfish CMSScan: WordPress, Drupal, Joomla, vBulletin siti web per problemi di sicurezza. (GUI) VulnX: Joomla, Wordpress, Drupal, PrestaShop, Opencart CMSMap: (W)ordpress, (J)oomla, (D)rupal o (M)oodle droopscan: Drupal, Joomla, Moodle, Silverstripe, Wordpress

cmsmap [-f W] -F -d <URL>
wpscan --force update -e --url <URL>
joomscan --ec -u <URL>
joomlavs.rb #https://github.com/rastating/joomlavs

A questo punto dovresti già avere alcune informazioni sul server web utilizzato dal cliente (se sono stati forniti dati) e alcuni trucchi da tenere a mente durante il test. Se sei fortunato, hai persino trovato un CMS e eseguito qualche scanner.

Scoperta dell'applicazione web passo dopo passo

Da questo punto inizieremo a interagire con l'applicazione web.

Controlli iniziali

Pagine predefinite con informazioni interessanti:

  • /robots.txt

  • /sitemap.xml

  • /crossdomain.xml

  • /clientaccesspolicy.xml

  • /.well-known/

  • Controlla anche i commenti nelle pagine principali e secondarie.

Forzare errori

I server web possono comportarsi in modo imprevisto quando vengono inviati dati strani. Questo può aprire vulnerabilità o divulgare informazioni sensibili.

  • Accedi a pagine false come /whatever_fake.php (.aspx,.html,.etc)

  • Aggiungi "[]", "]]" e "[[" nei valori dei cookie e nei valori dei parametri per creare errori

  • Genera un errore fornendo input come /~randomthing/%s alla fine dell'URL

  • Prova diversi verbi HTTP come PATCH, DEBUG o errati come FAKE

Controlla se puoi caricare file (PUT verb, WebDav)

Se scopri che WebDav è abilitato ma non hai abbastanza permessi per caricare file nella cartella radice, prova a:

  • Forzare le credenziali

  • Caricare file tramite WebDav nel resto delle cartelle trovate all'interno della pagina web. Potresti avere permessi per caricare file in altre cartelle.

Vulnerabilità SSL/TLS

  • Se l'applicazione non costringe l'uso di HTTPS in nessuna parte, allora è vulnerabile a MitM

  • Se l'applicazione invia dati sensibili (password) utilizzando HTTP. Allora è una vulnerabilità alta.

Usa testssl.sh per controllare le vulnerabilità (nei programmi di Bug Bounty probabilmente questo tipo di vulnerabilità non sarà accettato) e usa a2sv per ricontrollare le vulnerabilità:

./testssl.sh [--htmlfile] 10.10.10.10:443
#Use the --htmlfile to save the output inside an htmlfile also

# You can also use other tools, by testssl.sh at this momment is the best one (I think)
sslscan <host:port>
sslyze --regular <ip:port>

Informazioni sulle vulnerabilità SSL/TLS:

Spidering

Lancia qualche tipo di spider all'interno del web. L'obiettivo dello spider è trovare il maggior numero possibile di percorsi dall'applicazione testata. Pertanto, dovrebbero essere utilizzati web crawling e fonti esterne per trovare il maggior numero possibile di percorsi validi.

  • gospider (go): spider HTML, LinkFinder in file JS e fonti esterne (Archive.org, CommonCrawl.org, VirusTotal.com, AlienVault.com).

  • hakrawler (go): spider HML, con LinkFinder per file JS e Archive.org come fonte esterna.

  • dirhunt (python): spider HTML, indica anche "file succulenti".

  • evine (go): spider HTML interattivo da CLI. Cerca anche in Archive.org.

  • meg (go): Questo strumento non è uno spider ma può essere utile. Puoi semplicemente indicare un file con host e un file con percorsi e meg recupererà ogni percorso su ogni host e salverà la risposta.

  • urlgrab (go): spider HTML con capacità di rendering JS. Tuttavia, sembra che non sia mantenuto, la versione precompilata è vecchia e il codice attuale non si compila.

  • gau (go): spider HTML che utilizza fornitori esterni (wayback, otx, commoncrawl).

  • ParamSpider: Questo script troverà URL con parametri e li elencherà.

  • galer (go): spider HTML con capacità di rendering JS.

  • LinkFinder (python): spider HTML, con capacità di abbellimento JS in grado di cercare nuovi percorsi in file JS. Potrebbe valere la pena dare un'occhiata anche a JSScanner, che è un wrapper di LinkFinder.

  • goLinkFinder (go): Per estrarre endpoint sia nel sorgente HTML che nei file javascript incorporati. Utile per bug hunter, red teamer, infosec ninja.

  • JSParser (python2.7): Uno script python 2.7 che utilizza Tornado e JSBeautifier per analizzare URL relativi da file JavaScript. Utile per scoprire facilmente richieste AJAX. Sembra non essere mantenuto.

  • relative-url-extractor (ruby): Dato un file (HTML) estrarrà URL da esso utilizzando espressioni regolari per trovare ed estrarre gli URL relativi da file brutti (minify).

  • JSFScan (bash, diversi strumenti): Raccogli informazioni interessanti da file JS utilizzando diversi strumenti.

  • subjs (go): Trova file JS.

  • page-fetch (go): Carica una pagina in un browser headless e stampa tutti gli URL caricati per caricare la pagina.

  • Feroxbuster (rust): Strumento di scoperta dei contenuti che mescola diverse opzioni degli strumenti precedenti.

  • Javascript Parsing: Un'estensione di Burp per trovare percorsi e parametri in file JS.

  • Sourcemapper: Uno strumento che dato l'URL .js.map ti fornirà il codice JS abbellito.

  • xnLinkFinder: Questo è uno strumento utilizzato per scoprire endpoint per un dato target.

  • waymore: Scopri link dalla wayback machine (scaricando anche le risposte nella wayback e cercando più link).

  • HTTPLoot (go): Crawla (anche compilando moduli) e trova anche informazioni sensibili utilizzando regex specifici.

  • SpiderSuite: Spider Suite è un avanzato crawler/spider web GUI multi-funzionale progettato per professionisti della sicurezza informatica.

  • jsluice (go): È un pacchetto Go e strumento da riga di comando per estrarre URL, percorsi, segreti e altri dati interessanti dal codice sorgente JavaScript.

  • ParaForge: ParaForge è una semplice estensione di Burp Suite per estrarre i parametri e gli endpoint dalla richiesta per creare una wordlist personalizzata per fuzzing ed enumerazione.

  • katana (go): Strumento fantastico per questo.

  • Crawley (go): Stampa ogni link che riesce a trovare.

Brute Force directories and files

Inizia a brute-forzare dalla cartella radice e assicurati di brute-forzare tutte le directory trovate utilizzando questo metodo e tutte le directory scoperte dallo Spidering (puoi fare questo brute-forcing ricorsivamente e aggiungendo all'inizio della wordlist utilizzata i nomi delle directory trovate). Strumenti:

  • Dirb / Dirbuster - Inclusi in Kali, vecchi (e lenti) ma funzionali. Consentono certificati auto-firmati e ricerca ricorsiva. Troppo lenti rispetto ad altre opzioni.

  • Dirsearch (python): Non consente certificati auto-firmati ma consente ricerca ricorsiva.

  • Gobuster (go): Consente certificati auto-firmati, non ha ricerca ricorsiva.

  • Feroxbuster - Veloce, supporta ricerca ricorsiva.

  • wfuzz wfuzz -w /usr/share/seclists/Discovery/Web-Content/raft-medium-directories.txt https://domain.com/api/FUZZ

  • ffuf - Veloce: ffuf -c -w /usr/share/wordlists/dirb/big.txt -u http://10.10.10.10/FUZZ

  • uro (python): Questo non è uno spider ma uno strumento che dato l'elenco di URL trovati eliminerà gli URL "duplicati".

  • Scavenger: Estensione Burp per creare un elenco di directory dalla cronologia burp di diverse pagine.

  • TrashCompactor: Rimuovi URL con funzionalità duplicate (basato su importazioni js).

  • Chamaleon: Utilizza wapalyzer per rilevare le tecnologie utilizzate e selezionare le wordlist da utilizzare.

Dizionari consigliati:

Nota che ogni volta che viene scoperta una nuova directory durante il brute-forcing o lo spidering, dovrebbe essere brute-forzata.

Cosa controllare in ogni file trovato

  • Broken link checker: Trova link rotti all'interno degli HTML che potrebbero essere soggetti a takeover.

  • File di backup: Una volta trovati tutti i file, cerca i backup di tutti i file eseguibili (".php", ".aspx"...). Le variazioni comuni per nominare un backup sono: file.ext~, #file.ext#, ~file.ext, file.ext.bak, file.ext.tmp, file.ext.old, file.bak, file.tmp e file.old. Puoi anche utilizzare lo strumento bfac o backup-gen.

  • Scopri nuovi parametri: Puoi utilizzare strumenti come Arjun, parameth, x8 e Param Miner per scoprire parametri nascosti. Se puoi, potresti provare a cercare parametri nascosti in ogni file web eseguibile.

  • Arjun tutte le wordlist predefinite: https://github.com/s0md3v/Arjun/tree/master/arjun/db

  • Param-miner “params” : https://github.com/PortSwigger/param-miner/blob/master/resources/params

  • Assetnote “parameters_top_1m”: https://wordlists.assetnote.io/

  • nullenc0de “params.txt”: https://gist.github.com/nullenc0de/9cb36260207924f8e1787279a05eb773

  • Commenti: Controlla i commenti di tutti i file, puoi trovare credenziali o funzionalità nascoste.

  • Se stai partecipando a un CTF, un trucco "comune" è nascondere informazioni all'interno dei commenti a destra della pagina (utilizzando centinaia di spazi in modo da non vedere i dati se apri il codice sorgente con il browser). Un'altra possibilità è utilizzare diverse nuove righe e nascondere informazioni in un commento in fondo alla pagina web.

  • Chiavi API: Se trovi una chiave API c'è una guida che indica come utilizzare le chiavi API di diverse piattaforme: keyhacks, zile, truffleHog, SecretFinder, RegHex, DumpsterDive, EarlyBird.

  • Chiavi API di Google: Se trovi una chiave API che assomiglia a AIzaSyA-qLheq6xjDiEIRisP_ujUseYLQCHUjik puoi utilizzare il progetto gmapapiscanner per controllare quali API la chiave può accedere.

  • S3 Buckets: Durante lo spidering controlla se qualche sottodominio o qualche link è correlato a qualche S3 bucket. In tal caso, controlla le permissive del bucket.

Scoperte speciali

Mentre esegui lo spidering e il brute-forcing potresti trovare cose interessanti che devi notare.

File interessanti

403 Forbidden/Basic Authentication/401 Unauthorized (bypass)

403 & 401 Bypasses

502 Proxy Error

Se qualche pagina risponde con quel codice, è probabilmente un proxy mal configurato. Se invii una richiesta HTTP come: GET https://google.com HTTP/1.1 (con l'intestazione host e altre intestazioni comuni), il proxy cercherà di accedere google.com e avrai trovato un SSRF.

Autenticazione NTLM - Informazioni divulgate

Se il server in esecuzione richiede autenticazione è Windows o trovi un login che richiede le tue credenziali (e richiede il nome del dominio), puoi provocare una divulgazione di informazioni. Invia l'intestazione: “Authorization: NTLM TlRMTVNTUAABAAAAB4IIAAAAAAAAAAAAAAAAAAAAAAA=” e a causa di come funziona l'autenticazione NTLM, il server risponderà con informazioni interne (versione IIS, versione Windows...) all'interno dell'intestazione "WWW-Authenticate". Puoi automatizzare questo utilizzando il plugin nmap "http-ntlm-info.nse".

HTTP Redirect (CTF)

È possibile inserire contenuti all'interno di una Redirection. Questo contenuto non sarà mostrato all'utente (poiché il browser eseguirà il reindirizzamento) ma qualcosa potrebbe essere nascosto lì dentro.

Controllo delle vulnerabilità web

Ora che è stata eseguita un'ampia enumerazione dell'applicazione web è tempo di controllare molte possibili vulnerabilità. Puoi trovare la checklist qui:

Web Vulnerabilities Methodology

Trova ulteriori informazioni sulle vulnerabilità web in:

Monitorare le pagine per modifiche

Puoi utilizzare strumenti come https://github.com/dgtlmoon/changedetection.io per monitorare le pagine per modifiche che potrebbero inserire vulnerabilità.

Se sei interessato a una carriera nel hacking e a hackare l'inhackabile - stiamo assumendo! (richiesta fluente in polacco scritto e parlato).

LogoCareers | stmcyber.com | penetration testingstmcyber.com

HackTricks Comandi Automatici

Protocol_Name: Web    #Protocol Abbreviation if there is one.
Port_Number:  80,443     #Comma separated if there is more than one.
Protocol_Description: Web         #Protocol Abbreviation Spelled out

Entry_1:
Name: Notes
Description: Notes for Web
Note: |
https://book.hacktricks.xyz/pentesting/pentesting-web

Entry_2:
Name: Quick Web Scan
Description: Nikto and GoBuster
Command: nikto -host {Web_Proto}://{IP}:{Web_Port} &&&& gobuster dir -w {Small_Dirlist} -u {Web_Proto}://{IP}:{Web_Port} && gobuster dir -w {Big_Dirlist} -u {Web_Proto}://{IP}:{Web_Port}

Entry_3:
Name: Nikto
Description: Basic Site Info via Nikto
Command: nikto -host {Web_Proto}://{IP}:{Web_Port}

Entry_4:
Name: WhatWeb
Description: General purpose auto scanner
Command: whatweb -a 4 {IP}

Entry_5:
Name: Directory Brute Force Non-Recursive
Description:  Non-Recursive Directory Brute Force
Command: gobuster dir -w {Big_Dirlist} -u {Web_Proto}://{IP}:{Web_Port}

Entry_6:
Name: Directory Brute Force Recursive
Description: Recursive Directory Brute Force
Command: python3 {Tool_Dir}dirsearch/dirsearch.py -w {Small_Dirlist} -e php,exe,sh,py,html,pl -f -t 20 -u {Web_Proto}://{IP}:{Web_Port} -r 10

Entry_7:
Name: Directory Brute Force CGI
Description: Common Gateway Interface Brute Force
Command: gobuster dir -u {Web_Proto}://{IP}:{Web_Port}/ -w /usr/share/seclists/Discovery/Web-Content/CGIs.txt -s 200

Entry_8:
Name: Nmap Web Vuln Scan
Description: Tailored Nmap Scan for web Vulnerabilities
Command: nmap -vv --reason -Pn -sV -p {Web_Port} --script=`banner,(http* or ssl*) and not (brute or broadcast or dos or external or http-slowloris* or fuzzer)` {IP}

Entry_9:
Name: Drupal
Description: Drupal Enumeration Notes
Note: |
git clone https://github.com/immunIT/drupwn.git for low hanging fruit and git clone https://github.com/droope/droopescan.git for deeper enumeration

Entry_10:
Name: WordPress
Description: WordPress Enumeration with WPScan
Command: |
?What is the location of the wp-login.php? Example: /Yeet/cannon/wp-login.php
wpscan --url {Web_Proto}://{IP}{1} --enumerate ap,at,cb,dbe && wpscan --url {Web_Proto}://{IP}{1} --enumerate u,tt,t,vp --passwords {Big_Passwordlist} -e

Entry_11:
Name: WordPress Hydra Brute Force
Description: Need User (admin is default)
Command: hydra -l admin -P {Big_Passwordlist} {IP} -V http-form-post '/wp-login.php:log=^USER^&pwd=^PASS^&wp-submit=Log In&testcookie=1:S=Location'

Entry_12:
Name: Ffuf Vhost
Description: Simple Scan with Ffuf for discovering additional vhosts
Command: ffuf -w {Subdomain_List}:FUZZ -u {Web_Proto}://{Domain_Name} -H "Host:FUZZ.{Domain_Name}" -c -mc all {Ffuf_Filters}

Impara e pratica AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Impara e pratica GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Supporta HackTricks
Previous79 - Pentesting FingerNext403 & 401 Bypasses

Last updated