Пентест и анализ сайта

Начинаем образовательный цикл , сегодня пентест сайта и его анализ, нахождение уязвимостей при помощи специальных инструментов.

Для начала берем в аренду любой виртуальный сервер , удобнее всего на Aeza с почасовой оплатой.

В терминале вводим первые команды

sudo apt update
sudo apt install docker.io

Затем запускаем OWASP docker контейнер
sudo docker pull owasp/zap2docker-stable

Вводим команду и вставляем в конце ваш вебсайт для проверки

sudo docker run -t owasp/zap2docker-stable zap-baseline.py -t http://вставьте сайт сюда

Я взял несколько сайтов для удобства и оценки уязвимости : PornHub и зараженный вирусами сайт 17ebo**.com. Пожалуйста не нужно переходить на него ради вашей сохранности.

Запускаю команду с уже вставленным зараженным сайтом в терминале, получаю первые результаты:

root@gamy-snake:~# sudo docker run -t owasp/zap2docker-stable zap-baseline.py -t http://17ebook.com

Сходу получаем предупреждение "WARN-NEW: Dangerous JS Functions [10110]" от OWASP ZAP ,указывает на использование потенциально опасных функций JavaScript в файлах сайта. В сканируемых файлах JS обнаружены функции или шаблоны кода, которые могут быть уязвимыми или могут способствовать уязвимости и потенциально опасны.

Краткий список по сканированию:

1. WARN-NEW (Новые предупреждения): Обнаружены потенциальные проблемы безопасности, требующие внимания.
• Cookie No HttpOnly Flag [10010]: Куки не используют флаг HttpOnly, что делает их уязвимыми для XSS-атак.
• Missing Anti-clickjacking Header [10020]: Отсутствует заголовок защиты от кликджекинга.
• X-Content-Type-Options Header Missing [10021]: Отсутствует заголовок X-Content-Type-Options, предотвращающий MIME-атаки.
• Information Disclosure - Suspicious Comments [10027]: В исходном коде обнаружены подозрительные комментарии, потенциально раскрывающие информацию.
• Content Security Policy (CSP) Header Not Set [10038]: Отсутствует заголовок политики безопасности контента CSP, что увеличивает риск XSS-атак.
• Non-Storable Content [10049]: Проблемы с кешированием контента.
• Cookie without SameSite Attribute [10054]: Куки без атрибута SameSite, что может привести к уязвимости перед CSRF-атаками.
• Permissions Policy Header Not Set [10063]: Отсутствует заголовок политики разрешений, который контролирует доступ к определенным функциям браузера.
• Modern Web Application [10109]: Использование современных технологий веб-приложений.
• Dangerous JS Functions [10110]: Использование потенциально опасных JavaScript-функций.
• Session Management Response Identified [10112]: Проблемы с управлением сессиями.
• Sub Resource Integrity Attribute Missing [90003]: Отсутствует атрибут целостности подресурсов, который помогает предотвращать атаки, связанные с подменой ресурсов.