• Kategori: Güvenlik
  • Eyüp ÇELİK
  • Gösterim: 7771

Netsparker ile Web Uygulamalarında Güvenlik Testleri

Merhaba arkadaşlar. Uzun zamandır kaleme almaya çalışıyorum ancak işlerimin yoğun olmasından dolayı bir türlü fırsat bulup yazamıyordum. Bu makalemizde Mavituna Security’nin Netsparker ürünü ile web sunucularında ve web uygulamalarında güvenlik denetimlerinin nasıl yapılacağı ve web güvenlik testlerinde Netsparker kullanımına detaylıca değineceğiz.

 

Netsparker’ın iki ayrı sürümü mevcut. Bunlar Netsparker Professional Edition ve Netsparker Community Edition sürümleridir. Netsparker Community Edition sürümü ücretsiz sürüm olup, XSS ve SQL Injection zafiyetlerini tespit edebilme becerisine sahiptir.

Netsparker Kullanımı

Netsparker;

  1. Cross-Site Scripting (XSS)
  2. Reflected XSS
  3. Stored XSS
  4. Dom Based XSS
  5. SQL Injection
  6. Boolean SQL Injection
  7. Blind SQL Injection
  8. Script Source Code Disclosure
  9. Command Injection
  10. Blind Command Injection
  11. File Inclusion
  12. Remote File Inclusion (RFI)
  13. Local File Inclusion (LFI)
  14. Remote Code Evaluation
  15. Directory Traversal
  16. HTTP Header Injection
  17. Expression Language Injection
  18. Find Backup Files
  19. Crawl

Gibi birçok zafiyet testini yapabilme becerisine sahiptir. Netsparker’ın en önemli özelliklerinin başında yukarıda bahsetmiş olduğum zafiyetleri değerlendirip sızma becerisine sahip olmasıdır.

Netsparker Community sürümünü indirmek için  http://www.mavitunasecurity.com/communityedition/download/ adresine giriniz. Otomatik indirme işlemi başlayacaktır. Programı indirip kurulumu tamamlayalım.

Netsparker Kullanımı

Resim-01

Programı kurup çalıştırdıktan sonra, her zaman yaptığımız gibi mutlaka güncellememiz gerekir. Help menüsünden Check for Update’i tıklayarak yeni güncellemelerin varlığını kontrol ederek, programı yeni zafiyetleri tarayabilmesi için güncel tutuyoruz.

Bu işlemi tamamladıktan sonra zafiyet testi yapmaya geçebiliriz.

Sol üst köşede bulunan Start New Scan, File menüsünde bulunan Start New Scan yada Ctrl + N tuş kombinasyonu ile yeni bir tarama yapacağımızı belirtiyoruz.

Netsparker Kullanımı

Resim-02

Start New Scan’i tıklayınca Resim-02’deki ekran ile karşılaşacağız. Target URL kısmına hedef sitenin adresini yazıyoruz. Ben Damn Vulnerable Linux sürümünde web yayını yapan 192.168.132.136 adresini yazdım. Hemen altında Security Tests kısmında test etmek istediğimiz zafiyetler bulunmaktadır. Burda seçili zafiyet testi ne kadar fazla ise tarama o denli uzun sürecektir. Bir web uygulamasında sadece XSS testi yapacaksak Cross-site Scripting, sadece SQL Injection testi yapacaksak eğer SQL Injection kısımlarını seçmemiz gerekir. Kendize uygun test kısımlarını seçiniz. Hemen ardından Start Scan butonunu tıklayınız.

Netsparker Kullanımı

Resim-03

Tarama yapılırken Site Map (Resim-03) kısmında Crawl ve zafiyet çıktısı görülebilir. Netsparker burda site üzerinde bulunan dosya ve klasörleri tespit eder.

Netsparker Kullanımı

Resim-04

Zafiyet testi tamamlandığında 21 Critical güvenlik zafiyeti, 64 important zafiyet, 17 low zafiyet ve 110 information toplamış.

Netsparker Kullanımı

Resim-05

Netsparker’ın tespit ettiği zafiyetlere bakacak olursak eğer Issues (212) menüsünden Severity’i işaretleyerek zafiyetlerin kategorik bazda filtrelenmesini sağlıyoruz. Hemen ardından Critical olarak işaretlenmiş zafiyetlere bakıyoruz.

Netsparker Kullanımı

Resim-06

Critical olarak işaretlenmiş zafiyetler Resim-06’daki gibi görünecektir. Burda SQL Injection zafiyetlerinin tespit edildiğini görebiliriz. Netsparker’ın bu zafiyetleri kullanarak exploit edebilmesi için, SQL Injection panelinin aktif edilmesi gerekiyor. View menüsünden SQL Injection’ı tıklarsak, Resim-06’nın üst kısmında bulunan SQL Injection paneli görünecektir. Böylece alt kısımdan zafiyeti seçtikten sonra üst tarafta bulunan SQL Injection panelinden exploit ederek sisteme sızma işlemini gerçekleştirebiliriz.

Netsparker Kullanımı

Resim-07

Eğer bulunan zafiyetler arasında Code Execution zafiyeti mevcut ise, View menüsünden Code Execution’ı işaretliyerek Resim-07’de bulunan Code Execution paneli çalışacaktır. Böylece bulunan zafiyeti exploit ederek sisteme sızabiliriz.

Netsparker bulunan zafiyetleri exploit edebilme becerisine sahip olduğu için diğer web güvenlik araçları içerisinden kolayca sıyrılıp üstlerdeki yerini aldı. Tüm bunların yanında diğer güvenlik araçlarının en büyük eksiklerinden biri olan raporlama eksiği de Netsparker ile giderilmiş durumdadır. Raporlama açısından da oldukça başarılı bir araçtır.

Netsparker Kullanımı

Resim-08

Netsparker Kullanımı

Resim-09

Netsparker’ın ürettiği rapor detayları Resim-08 ve Resim-09’daki gibidir.

 

Güvenli günler.

Comments

-2 Guest 28-01-2013 15:16 #1
hocam.çok teşekkürler çok güzel bir anlatım.indirdim denedim buldu fakat Issues (212) kısmındaki criticallarda sizdeki gibi değil.tıklayınca satın al çıkıyor.
Quote
+2 Eyüp ÇELİK 28-01-2013 15:45 #2
Alıntılandı Guest:
hocam.çok teşekkürler çok güzel bir anlatım.indirdim denedim buldu fakat Issues (212) kısmındaki criticallarda sizdeki gibi değil.tıklayınca satın al çıkıyor.


O zaman bulduğu güvenlik açıkları çok kritik güvenlik zafiyetleridir. Örneğin LFI, RFI gibi zafiyetlerdir. Bunlar ücretli sürümde görülebilmektedir. Community Sürümde XSS ve SQL Injection zafiyetlerini detaylandırır.
Quote
+2 Guest 30-01-2013 10:13 #3
Teşekkürler hocam.ama Blind SQL injection yazıyor.neyse artık onlarla idare edecez.
Quote
+2 Guest 07-04-2013 12:07 #4
Merhaba Eyüp hocam,
Yaklaşık 1 yıldır netsparker kullanıyorum. Netsparker çok başarılı bir program. Ferruh hoca bu konuda en iyisi. Lakin program çok pahalı. Belki de hak ettiği ücret budur bilemem. Fakat ücretsiz sürümde gösterdiği açıkları professional sürümde göstermiyor. Kendim test ettim. Biraz antivirüs programlarının satış politikasına benzettim. Bir diğer konu ise açıkların true mu false mu olduğunu %99 hatasız gösteriyor bu çok önemli bir konu. Lakin exploit konusunda bir sqlmap asla değil. Bulduğu açıkların %80'ine yakınına exploit yapamadı. Sql bypass konusunda ve sorguların daha zengin olması noktasında kat etmesi gereken yollar var. Tabii ben de biliyorum ki Ferruh hoca bunu bilerek yapmıyor. Programının hack aracına dönüşmesini istemiyor. Fakat neden 1 tane de hack tools olmasın? Hem sağ hem de sol taraftan pazarda olması gerekir ki 2 eli de güçlü olsun :-)
Quote
0 Guest 07-04-2013 15:27 #5
Çerez kullanmak için programı satın almak gerekiyor. Peki çerez girmeden taramayı nasıl yapacağız? Bu zaman da çerez kullanmayan site kaldı mı? Çerez burada bir ölçüttür. Çerez kullanmayan sitenin zaten güvenliği konuşulmaz.
Quote
-2 Guest 23-04-2013 14:06 #6
ZATEN PROGRAMIN YAPIMCISI FERRUH MAVİTUNA HOCA :lol:
Quote
0 Guest 16-04-2014 20:10 #7
Taramalar gereksiz anlam da çok uzun sürüyor. Bu kadar uzun sürmesinin sebebi ise parametre olmayan sayfaları ve benzer aynı sayfaları tekrar tekrar tarıyor olması. Programın, yalnız parametre olan sayfaları taraması ve daha çok yapay zekaya sahip olması gerekiyor. Aynı şekilde bypass komutların da çoğalması lazım. Programda ciddi emek ve başarı var. Söylediklerim programın daha çok gelişmesine destek olmak içindir.
Quote
-2 Guest 16-05-2014 23:10 #8
çok güzel site hacklemek oluyor
Quote
-2 Guest 13-06-2014 17:48 #9
Değerli yazılarınız için teşekkürler.
Quote
0 Guest 29-12-2014 11:05 #10
Teşekkürler Eyüp Abi Çok Yararlı Oldu :))
Quote

Yorum ekle


Güvenlik kodu Yenile

Bookmaker betfair Bonus review by ArtBetting.co.uk

Bookmaker bet365 review by ArtBetting.co.uk

Germany bookmaker b.artbetting.de review by ArtBetting.de

Bookmaker Greece BET365 review by ArtBetting.gr

Back to top