80,443 - Pentesting Web Methodology
Last updated
Last updated
Impara e pratica AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Impara e pratica GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Se sei interessato a una carriera nell'hacking e a hackare l'inhackabile - stiamo assumendo! (richiesta conoscenza fluente della lingua polacca scritta e parlata).
Il servizio web è il servizio più comune ed esteso e esistono molti tipi diversi di vulnerabilità.
Porta predefinita: 80 (HTTP), 443(HTTPS)
In questa metodologia supponiamo che tu stia attaccando un dominio (o sottodominio) e solo quello. Quindi, dovresti applicare questa metodologia a ciascun dominio, sottodominio o IP scoperto con server web indeterminato all'interno dell'ambito.
Controlla se ci sono vulnerabilità note per la versione del server in esecuzione. Le intestazioni HTTP e i cookie della risposta potrebbero essere molto utili per identificare le tecnologie e/o la versione utilizzata. La scansione Nmap può identificare la versione del server, ma potrebbero essere utili anche gli strumenti whatweb, webtech o https://builtwith.com/:
Search for vulnerabilities of the web application version
Alcuni trucchi per trovare vulnerabilità in diverse tecnologie ben note utilizzate:
Tieni presente che il stesso dominio può utilizzare tecnologie diverse in porte, cartelle e sottodomini diversi. Se l'applicazione web utilizza qualche tech/platform ben nota elencata prima o qualsiasi altra, non dimenticare di cercare su Internet nuovi trucchi (e fammi sapere!).
Se il codice sorgente dell'applicazione è disponibile su github, oltre a eseguire un test White box dell'applicazione, ci sono alcune informazioni che potrebbero essere utili per il test Black-Box attuale:
C'è un file Change-log o Readme o Version o qualsiasi cosa con informazioni sulla versione accessibili via web?
Come e dove sono salvate le credenziali? C'è qualche file (accessibile?) con credenziali (nomi utente o password)?
Le password sono in testo semplice, crittografate o quale algoritmo di hashing è utilizzato?
Viene utilizzata qualche chiave master per crittografare qualcosa? Quale algoritmo è utilizzato?
Puoi accedere a uno di questi file sfruttando qualche vulnerabilità?
Ci sono informazioni interessanti su github (problemi risolti e non risolti)? O nella cronologia dei commit (forse qualche password introdotta in un vecchio commit)?
Se viene utilizzato un CMS non dimenticare di eseguire uno scanner, potrebbe essere trovato qualcosa di succoso:
Clusterd: JBoss, ColdFusion, WebLogic, Tomcat, Railo, Axis2, Glassfish CMSScan: WordPress, Drupal, Joomla, vBulletin siti web per problemi di sicurezza. (GUI) VulnX: Joomla, Wordpress, Drupal, PrestaShop, Opencart CMSMap: (W)ordpress, (J)oomla, (D)rupal o (M)oodle droopscan: Drupal, Joomla, Moodle, Silverstripe, Wordpress
A questo punto dovresti già avere alcune informazioni sul server web utilizzato dal cliente (se sono stati forniti dati) e alcuni trucchi da tenere a mente durante il test. Se sei fortunato, hai persino trovato un CMS e eseguito qualche scanner.
Da questo punto inizieremo a interagire con l'applicazione web.
Pagine predefinite con informazioni interessanti:
/robots.txt
/sitemap.xml
/crossdomain.xml
/clientaccesspolicy.xml
/.well-known/
Controlla anche i commenti nelle pagine principali e secondarie.
Forzare errori
I server web possono comportarsi in modo imprevisto quando vengono inviati dati strani. Questo può aprire vulnerabilità o divulgare informazioni sensibili.
Accedi a pagine false come /whatever_fake.php (.aspx,.html,.etc)
Aggiungi "[]", "]]" e "[[" nei valori dei cookie e nei valori dei parametri per creare errori
Genera un errore fornendo input come /~randomthing/%s alla fine dell'URL
Prova diversi verbi HTTP come PATCH, DEBUG o errati come FAKE
Se scopri che WebDav è abilitato ma non hai abbastanza permessi per caricare file nella cartella radice, prova a:
Forzare le credenziali
Caricare file tramite WebDav nel resto delle cartelle trovate all'interno della pagina web. Potresti avere permessi per caricare file in altre cartelle.
Se l'applicazione non costringe l'uso di HTTPS in nessuna parte, allora è vulnerabile a MitM
Se l'applicazione invia dati sensibili (password) utilizzando HTTP. Allora è una vulnerabilità alta.
Usa testssl.sh per controllare le vulnerabilità (nei programmi di Bug Bounty probabilmente questo tipo di vulnerabilità non sarà accettato) e usa a2sv per ricontrollare le vulnerabilità:
Informazioni sulle vulnerabilità SSL/TLS:
Lancia qualche tipo di spider all'interno del web. L'obiettivo dello spider è trovare il maggior numero possibile di percorsi dall'applicazione testata. Pertanto, dovrebbero essere utilizzati web crawling e fonti esterne per trovare il maggior numero possibile di percorsi validi.
gospider (go): spider HTML, LinkFinder in file JS e fonti esterne (Archive.org, CommonCrawl.org, VirusTotal.com, AlienVault.com).
hakrawler (go): spider HML, con LinkFinder per file JS e Archive.org come fonte esterna.
dirhunt (python): spider HTML, indica anche "file succulenti".
evine (go): spider HTML interattivo da CLI. Cerca anche in Archive.org.
meg (go): Questo strumento non è uno spider ma può essere utile. Puoi semplicemente indicare un file con host e un file con percorsi e meg recupererà ogni percorso su ogni host e salverà la risposta.
urlgrab (go): spider HTML con capacità di rendering JS. Tuttavia, sembra che non sia mantenuto, la versione precompilata è vecchia e il codice attuale non si compila.
gau (go): spider HTML che utilizza fornitori esterni (wayback, otx, commoncrawl).
ParamSpider: Questo script troverà URL con parametri e li elencherà.
galer (go): spider HTML con capacità di rendering JS.
LinkFinder (python): spider HTML, con capacità di abbellimento JS in grado di cercare nuovi percorsi in file JS. Potrebbe valere la pena dare un'occhiata anche a JSScanner, che è un wrapper di LinkFinder.
goLinkFinder (go): Per estrarre endpoint sia nel sorgente HTML che nei file javascript incorporati. Utile per bug hunter, red teamer, infosec ninja.
JSParser (python2.7): Uno script python 2.7 che utilizza Tornado e JSBeautifier per analizzare URL relativi da file JavaScript. Utile per scoprire facilmente richieste AJAX. Sembra non essere mantenuto.
relative-url-extractor (ruby): Dato un file (HTML) estrarrà URL da esso utilizzando espressioni regolari per trovare ed estrarre gli URL relativi da file brutti (minify).
JSFScan (bash, diversi strumenti): Raccogli informazioni interessanti da file JS utilizzando diversi strumenti.
subjs (go): Trova file JS.
page-fetch (go): Carica una pagina in un browser headless e stampa tutti gli URL caricati per caricare la pagina.
Feroxbuster (rust): Strumento di scoperta dei contenuti che mescola diverse opzioni degli strumenti precedenti.
Javascript Parsing: Un'estensione di Burp per trovare percorsi e parametri in file JS.
Sourcemapper: Uno strumento che dato l'URL .js.map ti fornirà il codice JS abbellito.
xnLinkFinder: Questo è uno strumento utilizzato per scoprire endpoint per un dato target.
waymore: Scopri link dalla wayback machine (scaricando anche le risposte nella wayback e cercando più link).
HTTPLoot (go): Crawla (anche compilando moduli) e trova anche informazioni sensibili utilizzando regex specifici.
SpiderSuite: Spider Suite è un avanzato crawler/spider web GUI multi-funzionale progettato per professionisti della sicurezza informatica.
jsluice (go): È un pacchetto Go e strumento da riga di comando per estrarre URL, percorsi, segreti e altri dati interessanti dal codice sorgente JavaScript.
ParaForge: ParaForge è una semplice estensione di Burp Suite per estrarre i parametri e gli endpoint dalla richiesta per creare una wordlist personalizzata per fuzzing ed enumerazione.
katana (go): Strumento fantastico per questo.
Crawley (go): Stampa ogni link che riesce a trovare.
Inizia a brute-forzare dalla cartella radice e assicurati di brute-forzare tutte le directory trovate utilizzando questo metodo e tutte le directory scoperte dallo Spidering (puoi fare questo brute-forcing ricorsivamente e aggiungendo all'inizio della wordlist utilizzata i nomi delle directory trovate). Strumenti:
Dirb / Dirbuster - Inclusi in Kali, vecchi (e lenti) ma funzionali. Consentono certificati auto-firmati e ricerca ricorsiva. Troppo lenti rispetto ad altre opzioni.
Dirsearch (python): Non consente certificati auto-firmati ma consente ricerca ricorsiva.
Gobuster (go): Consente certificati auto-firmati, non ha ricerca ricorsiva.
Feroxbuster - Veloce, supporta ricerca ricorsiva.
wfuzz wfuzz -w /usr/share/seclists/Discovery/Web-Content/raft-medium-directories.txt https://domain.com/api/FUZZ
ffuf - Veloce: ffuf -c -w /usr/share/wordlists/dirb/big.txt -u http://10.10.10.10/FUZZ
uro (python): Questo non è uno spider ma uno strumento che dato l'elenco di URL trovati eliminerà gli URL "duplicati".
Scavenger: Estensione Burp per creare un elenco di directory dalla cronologia burp di diverse pagine.
TrashCompactor: Rimuovi URL con funzionalità duplicate (basato su importazioni js).
Chamaleon: Utilizza wapalyzer per rilevare le tecnologie utilizzate e selezionare le wordlist da utilizzare.
Dizionari consigliati:
raft-large-directories-lowercase.txt
directory-list-2.3-medium.txt
RobotsDisallowed/top10000.txt
/usr/share/wordlists/dirb/common.txt
/usr/share/wordlists/dirb/big.txt
/usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt
Nota che ogni volta che viene scoperta una nuova directory durante il brute-forcing o lo spidering, dovrebbe essere brute-forzata.
Broken link checker: Trova link rotti all'interno degli HTML che potrebbero essere soggetti a takeover.
File di backup: Una volta trovati tutti i file, cerca i backup di tutti i file eseguibili (".php", ".aspx"...). Le variazioni comuni per nominare un backup sono: file.ext~, #file.ext#, ~file.ext, file.ext.bak, file.ext.tmp, file.ext.old, file.bak, file.tmp e file.old. Puoi anche utilizzare lo strumento bfac o backup-gen.
Scopri nuovi parametri: Puoi utilizzare strumenti come Arjun, parameth, x8 e Param Miner per scoprire parametri nascosti. Se puoi, potresti provare a cercare parametri nascosti in ogni file web eseguibile.
Arjun tutte le wordlist predefinite: https://github.com/s0md3v/Arjun/tree/master/arjun/db
Param-miner “params” : https://github.com/PortSwigger/param-miner/blob/master/resources/params
Assetnote “parameters_top_1m”: https://wordlists.assetnote.io/
nullenc0de “params.txt”: https://gist.github.com/nullenc0de/9cb36260207924f8e1787279a05eb773
Commenti: Controlla i commenti di tutti i file, puoi trovare credenziali o funzionalità nascoste.
Se stai partecipando a un CTF, un trucco "comune" è nascondere informazioni all'interno dei commenti a destra della pagina (utilizzando centinaia di spazi in modo da non vedere i dati se apri il codice sorgente con il browser). Un'altra possibilità è utilizzare diverse nuove righe e nascondere informazioni in un commento in fondo alla pagina web.
Chiavi API: Se trovi una chiave API c'è una guida che indica come utilizzare le chiavi API di diverse piattaforme: keyhacks, zile, truffleHog, SecretFinder, RegHex, DumpsterDive, EarlyBird.
Chiavi API di Google: Se trovi una chiave API che assomiglia a AIzaSyA-qLheq6xjDiEIRisP_ujUseYLQCHUjik puoi utilizzare il progetto gmapapiscanner per controllare quali API la chiave può accedere.
S3 Buckets: Durante lo spidering controlla se qualche sottodominio o qualche link è correlato a qualche S3 bucket. In tal caso, controlla le permissive del bucket.
Mentre esegui lo spidering e il brute-forcing potresti trovare cose interessanti che devi notare.
File interessanti
Cerca link ad altri file all'interno dei file CSS.
Se trovi un .env informazioni come chiavi API, password db e altre informazioni possono essere trovate.
Se trovi endpoint API dovresti testarli anche. Questi non sono file, ma probabilmente "sembreranno" tali.
File JS: Nella sezione spidering sono stati menzionati diversi strumenti che possono estrarre percorsi da file JS. Inoltre, sarebbe interessante monitorare ogni file JS trovato, poiché in alcune occasioni, una modifica potrebbe indicare che una potenziale vulnerabilità è stata introdotta nel codice. Potresti utilizzare ad esempio JSMon.
Deobfuscator e Unpacker Javascript: https://lelinhtinh.github.io/de4js/, https://www.dcode.fr/javascript-unobfuscator.
Beautifier Javascript: http://jsbeautifier.org/, http://jsnice.org/.
Deobfuscazione JsFuck (javascript con caratteri:"[]!+" https://ooze.ninja/javascript/poisonjs/).
TrainFuck: +72.+29.+7..+3.-67.-12.+55.+24.+3.-6.-8.-67.-23.
In diverse occasioni dovrai comprendere le espressioni regolari utilizzate, questo sarà utile: https://regex101.com/.
Potresti anche monitorare i file in cui sono stati rilevati moduli, poiché una modifica nel parametro o l'apparizione di un nuovo modulo potrebbe indicare una potenziale nuova funzionalità vulnerabile.
403 Forbidden/Basic Authentication/401 Unauthorized (bypass)
403 & 401 Bypasses502 Proxy Error
Se qualche pagina risponde con quel codice, è probabilmente un proxy mal configurato. Se invii una richiesta HTTP come: GET https://google.com HTTP/1.1 (con l'intestazione host e altre intestazioni comuni), il proxy cercherà di accedere google.com e avrai trovato un SSRF.
Autenticazione NTLM - Informazioni divulgate
Se il server in esecuzione richiede autenticazione è Windows o trovi un login che richiede le tue credenziali (e richiede il nome del dominio), puoi provocare una divulgazione di informazioni.
Invia l'intestazione: “Authorization: NTLM TlRMTVNTUAABAAAAB4IIAAAAAAAAAAAAAAAAAAAAAAA=” e a causa di come funziona l'autenticazione NTLM, il server risponderà con informazioni interne (versione IIS, versione Windows...) all'interno dell'intestazione "WWW-Authenticate".
Puoi automatizzare questo utilizzando il plugin nmap "http-ntlm-info.nse".
HTTP Redirect (CTF)
È possibile inserire contenuti all'interno di una Redirection. Questo contenuto non sarà mostrato all'utente (poiché il browser eseguirà il reindirizzamento) ma qualcosa potrebbe essere nascosto lì dentro.
Ora che è stata eseguita un'ampia enumerazione dell'applicazione web è tempo di controllare molte possibili vulnerabilità. Puoi trovare la checklist qui:
Web Vulnerabilities MethodologyTrova ulteriori informazioni sulle vulnerabilità web in:
Puoi utilizzare strumenti come https://github.com/dgtlmoon/changedetection.io per monitorare le pagine per modifiche che potrebbero inserire vulnerabilità.
Se sei interessato a una carriera nel hacking e a hackare l'inhackabile - stiamo assumendo! (richiesta fluente in polacco scritto e parlato).
Impara e pratica AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Impara e pratica GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
