يسرنا اليوم أن نتحدث عن إطلاق أداة WebPwn3r لفحص المواقع من الثغرات الخطيرة
والتي صممت خصيصا لمساعدة الباحثين الأمنين الذين يشاركون في مسابقات اكتشاف الثغرات التي تسمي ب Bug Bounty Programs
دعونا نشرح الأداة وطريقة عملها ..
الأداة تم برمجتها بلغة البايثون لتقوم بفحص المواقع من ثغرات Remote Code Injection و Remote Code Execution و XSS
الأداة تم برمجتها بواسطة كاتب الموضوع وهي حاليا تحت التطوير المستمر.
حيث يمكنك من خلال الأداة فحص رابط واحد أو عدة روابط .. رابط كمثال:
http:///site.com/namer/news.php?id=1&page=2&action=load
يمكنك انشاء ملف باسم list.txt ووضع روابط من مواقع مختلفه كالرابط بالأعلي ومن ثم تشغيل الأداة من خلال الأمر python scan.py واختيار رقم 2 لفحص جميع الروابط الموجوده داخل الملف من الثغرات الموضحه أعلاه.
المميزات الحالية في الأداة:
- 1- فحص رابط واحد او عدد ﻻ محدود من الروابط
- 2- اكتشاف واستغلال الثغرات من نوع Remote Code Injection
- 3- إكتشاف وإستغلال الثغرات من نوع Remote Command Execution
- 4- إكتشاف وإستغلال الثغرات من نوع XSS
- 5- الكشف عن ال WebKnight الذي يستخدم كجدار ناري للمواقع – WAF ومحاولة تخطيه
- 6- طرق إكتشاف وإستغلال الثغرات تم تطويرها بحيث تعمل علي أغلب انظمة التشغيل وكذلك لتتخطي الكثير من الجدران النارية المستخدمة في حماية المواقع من إكتشاف وإستغلال ثغراتها.
- 7- إستخراج بيانات عن البرمجيات المستخدمه داخل السرفر وكذلك إصداراتها.
فيديو يشرح كيفية عمل الأداة وإستخدامها في فحص عدة روابط:
أحد التجارب الناجحة للأداة هي إكتشاف ثغرة Remote Code Injection في موقع الياهو:
لتحميل الإداة تفضلوا بزيارة الرابط التالي:
https://github.com/zigoo0/webpwn3r
او من خلال الرابط المباشر:
https://github.com/zigoo0/webpwn3r/archive/master.zip
© إبراهيم حجازي for مجتمع الحماية العربي, 2014. |
Permalink |
No comment |
Add to
del.icio.us
Post tags: ثغرات, فحص مواقع
Feed enhanced by Better Feed from Ozh