Sorry, you need to enable JavaScript to visit this website.

Image CAPTCHA
Saisir les caractères affichés dans l'image.

Recherche de vulnérabilité web : websploit

Recherche de vulnérabilité web : websploit
2012-07-302013-02-28actualités et événementsfr
A l'occasion d'une nouvelle mise à jour ayant provoqué la parution de quelques filets de news, j'ai eu l'occasion de découvrir le script websploit. Certains penseront : "encore un script lambda pour identifier des vulnérabilités web". Et bien, oui et non ... En effet, ce qui a...
Publié le 30 Juillet 2012 par Cedric Baillet dans actualités et événements
recherche de vulnérabilité web : websploit

A l’occasion d’une nouvelle mise à jour ayant provoqué la parution de quelques filets de news, j’ai eu l’occasion de découvrir

Le seul reproche majeur que je pourrais faire à cet outil, c’est un manque de documentation. Ainsi, si le menu 1 cible clairement le test de serveurs web et est bien automatisé, les menus 2, 3 et 4, qui donnent accès à de nombreuses attaques ne seront correctement interprétés que par des experts connaissant déjà les attaques nommées.

Ce point reste dommageable car il est alors difficile d’apprécier l’impact de l’action qui sera lancée en cas de sélection d’une attaque. Situation difficilement acceptable lorsque l’on travaille sur un environnement de production. Un passage en lab sera donc probablement une obligation pour maitriser l’outil et pouvoir l’intégrer dans la trousse à outil de l’auditeur.

 

Enfin, si l’on revient sur le menu 1 dédié à l’identification de vulnérabilité sur les serveurs web, il est agréable de constater que l’utilisateur est totalement pris par la main et que metasploit, bien que moteur principal, est totalement transparent sauf pour les sorties de logs. Ce travail va même jusqu’à paramétrer les bases de données si l’initiation n’a pas encore été faite. Propre.

 

 

Une fois la base de donnée en ordre de marche, le script revient sur un mode de travail classique avec le lancement de metasploit (les dessins de bienvenu sont même conservés – i like !).

 

 

Il est donc possible de suivre le déroulement des tests en regardant l’ensemble des modules activés. Après examen, le travail me semble être bien réalisé et le temps gagné, comparé à un travail manuel avec metasploit, tout à fait significatif.

 

 

 

 

 

Bref, je trouve cet outil intéressant. S’il est certain que les auditeurs capés auront déjà réalisé par eux-mêmes les scripts de tests, les nouveaux arrivants ou les acteurs ponctuels pourront certainement y trouver un intérêt pour compléter le panel de tests.

Cedric

1 Commentaire

  • 30 Juillet 2012
    2012-07-30
    par
    Boblemoche
    Cet outil, outre le fait qu'il est très très ressemblant à SET (Social Engineering Toolset) ne semble être (un peu comme SET) qu'un wrapper autour de Metasploit.
    Enfin, je pense, comme tout outil de ce type, qu'une analyse du code s'impose avant toute utilisation.

Ajouter un commentaire

comments

  • Les adresses de pages web et de courriels sont transformées en liens automatiquement.
  • Les lignes et les paragraphes vont à la ligne automatiquement.
  • Tags HTML autorisés : <a> <em> <strong> <cite> <blockquote> <code> <ul> <ol> <li> <dl> <dt> <dd> <br>

Plain text

  • Aucune balise HTML autorisée.
  • Les adresses de pages web et de courriels sont transformées en liens automatiquement.
  • Les lignes et les paragraphes vont à la ligne automatiquement.

Email HTML

  • Les lignes et les paragraphes vont à la ligne automatiquement.
  • Les adresses de pages web et de courriels sont transformées en liens automatiquement.
Image CAPTCHA
Saisir les caractères affichés dans l'image.
Changer d'affichage