Проверка web-сервера на уязвимости с помощью Nikto2

Сегодня хочу рассказать о том, как просто можно проверить свой сервер или сайт на дыры.

Многие веб-мастера, не являясь админами, держат для себя сайты или даже сервера. Например, я. При этом, зачастую, являясь дилетантами в безопасности. Да и даже если и не дилетантами, то бывает, просто по невнимательности пропускаешь что-то важное из виду при настройке или использовании.

Тут на помощь нам приходит софт, который способен просканировать наш сайт/сервер на наиболее распространенные уязвимости и выдать некоторые рекомендации. Один из таких — Nikto2.

Nikto — это открытый сканер веб-сервера, который позволяет провести тесты на более чем 6500 уязвимостей файлов и скриптов, а также проверить актуальность и конфликты версий различного серверного ПО. Кроме того, Nikto способен проверить конфигурацию вашего web-сервера. Список сканируемых уязвимостей и плагинов для Nikto постоянно пополняется и его можно автоматически обновлять.

Nikto не является скрытой тулзой, которая наблюдает за сервером, а создавался для быстрого и простого тестирования вашего web-сервера. Однако, у данного скрипта имеется возможность тестирования систем обнаружения вторжений при помощи функционала LibWhisker.

Не каждый тест Nikto является потенциальной дырой, но подавляющее большинство из них все же могут доставить проблем. Некоторые проверки носят сугубо информационный характер и позволяют держать мейнтейнера в курсе происходящего на его сервере. Так же есть проверки на ранее неизвестные уязвимости.

Начать пользоваться этой прелестью можно без проблем. Представляет он из себя обычный PERL-скрипт с дополнительными папочками для базы уязвимостей и прочего. Качаем с сайта разработчика.

После запуска сидим и мирно ждем минут 5-10-15, пока скрипт не отработает. В процессе сканирования уязвимостей Nikto регулярно будет выводить найденные ошибки, а так же прочие замечания и наблюдения. Так же, для вывода прогресса и общей сводки можно нажать на пробел.

Nikto имеет ряд полезных параметров, которые могут вам пригодиться. Вот наиболее приятные из них:

• -h <хост> — указание хоста, на котором необходимо проводить тестирование;
• -p <порт> — указание порта, на котором необходимо проводить тестирование;
• -ssl — тестирование с использованием HTTPS-запросов;
• -update — автоматическое обновление плагинов и базы уязвимостей;
• -useproxy <хост>:<порт> — использовать прокси-сервер;

Следует отметить, что Nikto не будет устранять уязвимости за вас, а только направит вас в нужную сторону.

Намного подробнее о данном скрипте вы можете прочитать в документации на сайте разработчика.