mirror of
https://github.com/carlospolop/hacktricks
synced 2024-12-24 12:03:37 +00:00
454 lines
33 KiB
Markdown
454 lines
33 KiB
Markdown
|
# 80,443 - Metodologia de Pentesting Web
|
||
|
|
||
|
{% hint style="success" %}
|
||
|
Aprenda e pratique Hacking AWS:<img src="../../.gitbook/assets/arte.png" alt="" data-size="line">[**HackTricks Training AWS Red Team Expert (ARTE)**](https://training.hacktricks.xyz/courses/arte)<img src="../../.gitbook/assets/arte.png" alt="" data-size="line">\
|
||
|
Aprenda e pratique Hacking GCP: <img src="../../.gitbook/assets/grte.png" alt="" data-size="line">[**HackTricks Training GCP Red Team Expert (GRTE)**<img src="../../.gitbook/assets/grte.png" alt="" data-size="line">](https://training.hacktricks.xyz/courses/grte)
|
||
|
|
||
|
<details>
|
||
|
|
||
|
<summary>Suporte ao HackTricks</summary>
|
||
|
|
||
|
* Confira os [**planos de assinatura**](https://github.com/sponsors/carlospolop)!
|
||
|
* **Junte-se ao** 💬 [**grupo do Discord**](https://discord.gg/hRep4RUj7f) ou ao [**grupo do telegram**](https://t.me/peass) ou **siga**-nos no **Twitter** 🐦 [**@hacktricks\_live**](https://twitter.com/hacktricks_live)**.**
|
||
|
* **Compartilhe truques de hacking enviando PRs para o** [**HackTricks**](https://github.com/carlospolop/hacktricks) e [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) repositórios do github.
|
||
|
|
||
|
</details>
|
||
|
{% endhint %}
|
||
|
|
||
|
<figure><img src="../../.gitbook/assets/pentest-tools.svg" alt=""><figcaption></figcaption></figure>
|
||
|
|
||
|
**Obtenha a perspectiva de um hacker sobre seus aplicativos web, rede e nuvem**
|
||
|
|
||
|
**Encontre e relate vulnerabilidades críticas e exploráveis com impacto real nos negócios.** Use nossas 20+ ferramentas personalizadas para mapear a superfície de ataque, encontrar problemas de segurança que permitem escalar privilégios e usar exploits automatizados para coletar evidências essenciais, transformando seu trabalho árduo em relatórios persuasivos.
|
||
|
|
||
|
{% embed url="https://pentest-tools.com/?utm_term=jul2024&utm_medium=link&utm_source=hacktricks&utm_campaign=spons" %}
|
||
|
|
||
|
## Informações Básicas
|
||
|
|
||
|
O serviço web é o mais **comum e extenso** e muitos **tipos diferentes de vulnerabilidades** existem.
|
||
|
|
||
|
**Porta padrão:** 80 (HTTP), 443(HTTPS)
|
||
|
```bash
|
||
|
PORT STATE SERVICE
|
||
|
80/tcp open http
|
||
|
443/tcp open ssl/https
|
||
|
```
|
||
|
|
||
|
```bash
|
||
|
nc -v domain.com 80 # GET / HTTP/1.0
|
||
|
openssl s_client -connect domain.com:443 # GET / HTTP/1.0
|
||
|
```
|
||
|
### Web API Guidance
|
||
|
|
||
|
{% content-ref url="web-api-pentesting.md" %}
|
||
|
[web-api-pentesting.md](web-api-pentesting.md)
|
||
|
{% endcontent-ref %}
|
||
|
|
||
|
## Metodologia resumo
|
||
|
|
||
|
> Nesta metodologia, vamos supor que você vai atacar um domínio (ou subdomínio) e apenas isso. Portanto, você deve aplicar esta metodologia a cada domínio, subdomínio ou IP descoberto com servidor web indeterminado dentro do escopo.
|
||
|
|
||
|
* [ ] Comece **identificando** as **tecnologias** usadas pelo servidor web. Procure por **truques** para ter em mente durante o restante do teste se você conseguir identificar a tecnologia com sucesso.
|
||
|
* [ ] Alguma **vulnerabilidade conhecida** da versão da tecnologia?
|
||
|
* [ ] Usando alguma **tecnologia bem conhecida**? Algum **truque útil** para extrair mais informações?
|
||
|
* [ ] Algum **scanner especializado** para rodar (como wpscan)?
|
||
|
* [ ] Lance **scanners de propósitos gerais**. Você nunca sabe se eles vão encontrar algo ou se vão encontrar alguma informação interessante.
|
||
|
* [ ] Comece com as **verificações iniciais**: **robots**, **sitemap**, erro **404** e **varredura SSL/TLS** (se HTTPS).
|
||
|
* [ ] Comece a **spiderar** a página web: É hora de **encontrar** todos os possíveis **arquivos, pastas** e **parâmetros sendo usados.** Além disso, verifique por **descobertas especiais**.
|
||
|
* [ ] _Note que sempre que um novo diretório for descoberto durante brute-forcing ou spidering, ele deve ser spiderado._
|
||
|
* [ ] **Brute-Forcing de Diretórios**: Tente forçar todos os diretórios descobertos em busca de novos **arquivos** e **diretórios**.
|
||
|
* [ ] _Note que sempre que um novo diretório for descoberto durante brute-forcing ou spidering, ele deve ser Brute-Forced._
|
||
|
* [ ] **Verificação de Backups**: Teste se você consegue encontrar **backups** de **arquivos descobertos** adicionando extensões comuns de backup.
|
||
|
* [ ] **Brute-Force de parâmetros**: Tente **encontrar parâmetros ocultos**.
|
||
|
* [ ] Uma vez que você tenha **identificado** todos os possíveis **endpoints** aceitando **entrada do usuário**, verifique todos os tipos de **vulnerabilidades** relacionadas a isso.
|
||
|
* [ ] [Siga esta lista de verificação](../../pentesting-web/web-vulnerabilities-methodology.md)
|
||
|
|
||
|
## Versão do Servidor (Vulnerável?)
|
||
|
|
||
|
### Identificar
|
||
|
|
||
|
Verifique se há **vulnerabilidades conhecidas** para a **versão** do servidor que está em execução.\
|
||
|
Os **cabeçalhos HTTP e cookies da resposta** podem ser muito úteis para **identificar** as **tecnologias** e/ou **versão** sendo usadas. A **varredura Nmap** pode identificar a versão do servidor, mas também podem ser úteis as ferramentas [**whatweb**](https://github.com/urbanadventurer/WhatWeb)**,** [**webtech** ](https://github.com/ShielderSec/webtech)ou [**https://builtwith.com/**](https://builtwith.com)**:**
|
||
|
```bash
|
||
|
whatweb -a 1 <URL> #Stealthy
|
||
|
whatweb -a 3 <URL> #Aggresive
|
||
|
webtech -u <URL>
|
||
|
webanalyze -host https://google.com -crawl 2
|
||
|
```
|
||
|
Search **for** [**vulnerabilidades da versão da aplicação web**](../../generic-methodologies-and-resources/search-exploits.md)
|
||
|
|
||
|
### **Verifique se há algum WAF**
|
||
|
|
||
|
* [**https://github.com/EnableSecurity/wafw00f**](https://github.com/EnableSecurity/wafw00f)
|
||
|
* [**https://github.com/Ekultek/WhatWaf.git**](https://github.com/Ekultek/WhatWaf.git)
|
||
|
* [**https://nmap.org/nsedoc/scripts/http-waf-detect.html**](https://nmap.org/nsedoc/scripts/http-waf-detect.html)
|
||
|
|
||
|
### Truques de tecnologia web
|
||
|
|
||
|
Alguns **truques** para **encontrar vulnerabilidades** em diferentes **tecnologias** bem conhecidas que estão sendo usadas:
|
||
|
|
||
|
* [**AEM - Adobe Experience Cloud**](aem-adobe-experience-cloud.md)
|
||
|
* [**Apache**](apache.md)
|
||
|
* [**Artifactory**](artifactory-hacking-guide.md)
|
||
|
* [**Buckets**](buckets/)
|
||
|
* [**CGI**](cgi.md)
|
||
|
* [**Drupal**](drupal/)
|
||
|
* [**Flask**](flask.md)
|
||
|
* [**Git**](git.md)
|
||
|
* [**Golang**](golang.md)
|
||
|
* [**GraphQL**](graphql.md)
|
||
|
* [**H2 - banco de dados Java SQL**](h2-java-sql-database.md)
|
||
|
* [**truques do IIS**](iis-internet-information-services.md)
|
||
|
* [**JBOSS**](jboss.md)
|
||
|
* [**Jenkins**](\[https:/github.com/carlospolop/hacktricks/blob/master/network-services-pentesting/pentesting-web/broken-reference/README.md]\(https:/github.com/HackTricks-wiki/hacktricks-cloud/tree/master/pentesting-ci-cd/jenkins-security\)/)
|
||
|
* [**Jira**](jira.md)
|
||
|
* [**Joomla**](joomla.md)
|
||
|
* [**JSP**](jsp.md)
|
||
|
* [**Laravel**](laravel.md)
|
||
|
* [**Moodle**](moodle.md)
|
||
|
* [**Nginx**](nginx.md)
|
||
|
* [**PHP (php tem muitos truques interessantes que podem ser explorados)**](php-tricks-esp/)
|
||
|
* [**Python**](python.md)
|
||
|
* [**Spring Actuators**](spring-actuators.md)
|
||
|
* [**Symphony**](symphony.md)
|
||
|
* [**Tomcat**](tomcat.md)
|
||
|
* [**VMWare**](vmware-esx-vcenter....md)
|
||
|
* [**Web API Pentesting**](web-api-pentesting.md)
|
||
|
* [**WebDav**](put-method-webdav.md)
|
||
|
* [**Werkzeug**](werkzeug.md)
|
||
|
* [**Wordpress**](wordpress.md)
|
||
|
* [**Electron Desktop (XSS para RCE)**](electron-desktop-apps/)
|
||
|
|
||
|
_Tenha em mente que o **mesmo domínio** pode estar usando **diferentes tecnologias** em diferentes **portas**, **pastas** e **subdomínios**._\
|
||
|
Se a aplicação web estiver usando alguma **tecnologia/plataforma bem conhecida listada acima** ou **qualquer outra**, não se esqueça de **pesquisar na Internet** novos truques (e me avise!).
|
||
|
|
||
|
### Revisão de Código Fonte
|
||
|
|
||
|
Se o **código fonte** da aplicação estiver disponível no **github**, além de realizar por **sua conta um teste de caixa branca** da aplicação, há **algumas informações** que podem ser **úteis** para o atual **teste de caixa preta**:
|
||
|
|
||
|
* Existe um **Change-log ou Readme ou arquivo de Versão** ou algo com **informações de versão acessíveis** via web?
|
||
|
* Como e onde são salvas as **credenciais**? Existe algum (acessível?) **arquivo** com credenciais (nomes de usuário ou senhas)?
|
||
|
* As **senhas** estão em **texto simples**, **criptografadas** ou qual **algoritmo de hash** é usado?
|
||
|
* Está usando alguma **chave mestra** para criptografar algo? Qual **algoritmo** é usado?
|
||
|
* Você pode **acessar algum desses arquivos** explorando alguma vulnerabilidade?
|
||
|
* Há alguma **informação interessante no github** (problemas resolvidos e não resolvidos)? Ou no **histórico de commits** (talvez alguma **senha introduzida em um commit antigo**)?
|
||
|
|
||
|
{% content-ref url="code-review-tools.md" %}
|
||
|
[code-review-tools.md](code-review-tools.md)
|
||
|
{% endcontent-ref %}
|
||
|
|
||
|
### Scanners automáticos
|
||
|
|
||
|
#### Scanners automáticos de propósito geral
|
||
|
```bash
|
||
|
nikto -h <URL>
|
||
|
whatweb -a 4 <URL>
|
||
|
wapiti -u <URL>
|
||
|
W3af
|
||
|
zaproxy #You can use an API
|
||
|
nuclei -ut && nuclei -target <URL>
|
||
|
|
||
|
# https://github.com/ignis-sec/puff (client side vulns fuzzer)
|
||
|
node puff.js -w ./wordlist-examples/xss.txt -u "http://www.xssgame.com/f/m4KKGHi2rVUN/?query=FUZZ"
|
||
|
```
|
||
|
#### Scanners de CMS
|
||
|
|
||
|
Se um CMS estiver em uso, não se esqueça de **executar um scanner**, talvez algo interessante seja encontrado:
|
||
|
|
||
|
[**Clusterd**](https://github.com/hatRiot/clusterd)**:** [**JBoss**](jboss.md)**, ColdFusion, WebLogic,** [**Tomcat**](tomcat.md)**, Railo, Axis2, Glassfish**\
|
||
|
[**CMSScan**](https://github.com/ajinabraham/CMSScan): [**WordPress**](wordpress.md), [**Drupal**](drupal/), **Joomla**, **vBulletin** websites para problemas de segurança. (GUI)\
|
||
|
[**VulnX**](https://github.com/anouarbensaad/vulnx)**:** [**Joomla**](joomla.md)**,** [**Wordpress**](wordpress.md)**,** [**Drupal**](drupal/)**, PrestaShop, Opencart**\
|
||
|
**CMSMap**: [**(W)ordpress**](wordpress.md)**,** [**(J)oomla**](joomla.md)**,** [**(D)rupal**](drupal/) **ou** [**(M)oodle**](moodle.md)\
|
||
|
[**droopscan**](https://github.com/droope/droopescan)**:** [**Drupal**](drupal/)**,** [**Joomla**](joomla.md)**,** [**Moodle**](moodle.md)**, Silverstripe,** [**Wordpress**](wordpress.md)
|
||
|
```bash
|
||
|
cmsmap [-f W] -F -d <URL>
|
||
|
wpscan --force update -e --url <URL>
|
||
|
joomscan --ec -u <URL>
|
||
|
joomlavs.rb #https://github.com/rastating/joomlavs
|
||
|
```
|
||
|
> Neste ponto, você já deve ter algumas informações sobre o servidor web utilizado pelo cliente (se algum dado for fornecido) e algumas dicas para ter em mente durante o teste. Se você tiver sorte, pode até ter encontrado um CMS e executado algum scanner.
|
||
|
|
||
|
## Descoberta de Aplicações Web Passo a Passo
|
||
|
|
||
|
> A partir deste ponto, começaremos a interagir com a aplicação web.
|
||
|
|
||
|
### Verificações Iniciais
|
||
|
|
||
|
**Páginas padrão com informações interessantes:**
|
||
|
|
||
|
* /robots.txt
|
||
|
* /sitemap.xml
|
||
|
* /crossdomain.xml
|
||
|
* /clientaccesspolicy.xml
|
||
|
* /.well-known/
|
||
|
* Verifique também os comentários nas páginas principais e secundárias.
|
||
|
|
||
|
**Forçando erros**
|
||
|
|
||
|
Servidores web podem **comportar-se de maneira inesperada** quando dados estranhos são enviados a eles. Isso pode abrir **vulnerabilidades** ou **divulgar informações sensíveis**.
|
||
|
|
||
|
* Acesse **páginas falsas** como /whatever\_fake.php (.aspx,.html,.etc)
|
||
|
* **Adicione "\[]", "]]" e "\[\["** nos **valores de cookie** e **valores de parâmetro** para criar erros
|
||
|
* Gere erro fornecendo entrada como **`/~randomthing/%s`** no **final** da **URL**
|
||
|
* Tente **diferentes Verbos HTTP** como PATCH, DEBUG ou errados como FAKE
|
||
|
|
||
|
#### **Verifique se você pode fazer upload de arquivos (**[**verbo PUT, WebDav**](put-method-webdav.md)**)**
|
||
|
|
||
|
Se você descobrir que o **WebDav** está **ativado**, mas não tem permissões suficientes para **fazer upload de arquivos** na pasta raiz, tente:
|
||
|
|
||
|
* **Forçar Brute** credenciais
|
||
|
* **Fazer upload de arquivos** via WebDav para o **resto** das **pastas encontradas** dentro da página web. Você pode ter permissões para fazer upload de arquivos em outras pastas.
|
||
|
|
||
|
### **Vulnerabilidades SSL/TLS**
|
||
|
|
||
|
* Se a aplicação **não estiver forçando o uso de HTTPS** em nenhuma parte, então está **vulnerável a MitM**
|
||
|
* Se a aplicação está **enviando dados sensíveis (senhas) usando HTTP**. Então é uma alta vulnerabilidade.
|
||
|
|
||
|
Use [**testssl.sh**](https://github.com/drwetter/testssl.sh) para verificar **vulnerabilidades** (Em programas de Bug Bounty, provavelmente esse tipo de vulnerabilidade não será aceito) e use [**a2sv**](https://github.com/hahwul/a2sv) para rechecagem das vulnerabilidades:
|
||
|
```bash
|
||
|
./testssl.sh [--htmlfile] 10.10.10.10:443
|
||
|
#Use the --htmlfile to save the output inside an htmlfile also
|
||
|
|
||
|
# You can also use other tools, by testssl.sh at this momment is the best one (I think)
|
||
|
sslscan <host:port>
|
||
|
sslyze --regular <ip:port>
|
||
|
```
|
||
|
Informações sobre vulnerabilidades SSL/TLS:
|
||
|
|
||
|
* [https://www.gracefulsecurity.com/tls-ssl-vulnerabilities/](https://www.gracefulsecurity.com/tls-ssl-vulnerabilities/)
|
||
|
* [https://www.acunetix.com/blog/articles/tls-vulnerabilities-attacks-final-part/](https://www.acunetix.com/blog/articles/tls-vulnerabilities-attacks-final-part/)
|
||
|
|
||
|
### Spidering
|
||
|
|
||
|
Lance algum tipo de **spider** dentro da web. O objetivo do spider é **encontrar o maior número possível de caminhos** a partir da aplicação testada. Portanto, a exploração da web e fontes externas devem ser usadas para encontrar o maior número possível de caminhos válidos.
|
||
|
|
||
|
* [**gospider**](https://github.com/jaeles-project/gospider) (go): Spider HTML, LinkFinder em arquivos JS e fontes externas (Archive.org, CommonCrawl.org, VirusTotal.com, AlienVault.com).
|
||
|
* [**hakrawler**](https://github.com/hakluke/hakrawler) (go): Spider HML, com LinkFinder para arquivos JS e Archive.org como fonte externa.
|
||
|
* [**dirhunt**](https://github.com/Nekmo/dirhunt) (python): Spider HTML, também indica "arquivos suculentos".
|
||
|
* [**evine** ](https://github.com/saeeddhqan/evine)(go): Spider HTML interativo CLI. Também pesquisa no Archive.org.
|
||
|
* [**meg**](https://github.com/tomnomnom/meg) (go): Esta ferramenta não é um spider, mas pode ser útil. Você pode apenas indicar um arquivo com hosts e um arquivo com caminhos e o meg buscará cada caminho em cada host e salvará a resposta.
|
||
|
* [**urlgrab**](https://github.com/IAmStoxe/urlgrab) (go): Spider HTML com capacidades de renderização JS. No entanto, parece que não está sendo mantido, a versão pré-compilada é antiga e o código atual não compila.
|
||
|
* [**gau**](https://github.com/lc/gau) (go): Spider HTML que usa provedores externos (wayback, otx, commoncrawl).
|
||
|
* [**ParamSpider**](https://github.com/devanshbatham/ParamSpider): Este script encontrará URLs com parâmetros e as listará.
|
||
|
* [**galer**](https://github.com/dwisiswant0/galer) (go): Spider HTML com capacidades de renderização JS.
|
||
|
* [**LinkFinder**](https://github.com/GerbenJavado/LinkFinder) (python): Spider HTML, com capacidades de embelezamento JS capaz de buscar novos caminhos em arquivos JS. Também pode valer a pena dar uma olhada no [JSScanner](https://github.com/dark-warlord14/JSScanner), que é um wrapper do LinkFinder.
|
||
|
* [**goLinkFinder**](https://github.com/0xsha/GoLinkFinder) (go): Para extrair endpoints tanto no código-fonte HTML quanto em arquivos javascript incorporados. Útil para caçadores de bugs, red teamers, ninjas de infosec.
|
||
|
* [**JSParser**](https://github.com/nahamsec/JSParser) (python2.7): Um script python 2.7 usando Tornado e JSBeautifier para analisar URLs relativas de arquivos JavaScript. Útil para descobrir facilmente requisições AJAX. Parece não estar sendo mantido.
|
||
|
* [**relative-url-extractor**](https://github.com/jobertabma/relative-url-extractor) (ruby): Dado um arquivo (HTML), ele extrairá URLs dele usando expressões regulares inteligentes para encontrar e extrair as URLs relativas de arquivos feios (minificados).
|
||
|
* [**JSFScan**](https://github.com/KathanP19/JSFScan.sh) (bash, várias ferramentas): Coletar informações interessantes de arquivos JS usando várias ferramentas.
|
||
|
* [**subjs**](https://github.com/lc/subjs) (go): Encontrar arquivos JS.
|
||
|
* [**page-fetch**](https://github.com/detectify/page-fetch) (go): Carregar uma página em um navegador sem cabeça e imprimir todas as URLs carregadas para carregar a página.
|
||
|
* [**Feroxbuster**](https://github.com/epi052/feroxbuster) (rust): Ferramenta de descoberta de conteúdo misturando várias opções das ferramentas anteriores.
|
||
|
* [**Javascript Parsing**](https://github.com/xnl-h4ck3r/burp-extensions): Uma extensão Burp para encontrar caminhos e parâmetros em arquivos JS.
|
||
|
* [**Sourcemapper**](https://github.com/denandz/sourcemapper): Uma ferramenta que, dado a URL .js.map, obterá o código JS embelezado.
|
||
|
* [**xnLinkFinder**](https://github.com/xnl-h4ck3r/xnLinkFinder): Esta é uma ferramenta usada para descobrir endpoints para um alvo específico.
|
||
|
* [**waymore**](https://github.com/xnl-h4ck3r/waymore)**:** Descobrir links da máquina wayback (também baixando as respostas na wayback e procurando mais links).
|
||
|
* [**HTTPLoot**](https://github.com/redhuntlabs/HTTPLoot) (go): Rastear (mesmo preenchendo formulários) e também encontrar informações sensíveis usando regexes específicas.
|
||
|
* [**SpiderSuite**](https://github.com/3nock/SpiderSuite): Spider Suite é um avançado Crawler/Spider de segurança web com múltiplas funcionalidades projetado para profissionais de cibersegurança.
|
||
|
* [**jsluice**](https://github.com/BishopFox/jsluice) (go): É um pacote Go e [ferramenta de linha de comando](https://github.com/BishopFox/jsluice/blob/main/cmd/jsluice) para extrair URLs, caminhos, segredos e outros dados interessantes do código-fonte JavaScript.
|
||
|
* [**ParaForge**](https://github.com/Anof-cyber/ParaForge): ParaForge é uma simples **extensão do Burp Suite** para **extrair os parâmetros e endpoints** da requisição para criar listas de palavras personalizadas para fuzzing e enumeração.
|
||
|
* [**katana**](https://github.com/projectdiscovery/katana) (go): Ferramenta incrível para isso.
|
||
|
* [**Crawley**](https://github.com/s0rg/crawley) (go): Imprimir todos os links que conseguir encontrar.
|
||
|
|
||
|
### Forçar diretórios e arquivos
|
||
|
|
||
|
Comece a **forçar** a partir da pasta raiz e tenha certeza de forçar **todos** os **diretórios encontrados** usando **este método** e todos os diretórios **descobertos** pelo **Spidering** (você pode fazer essa força **recursivamente** e adicionando no início da lista de palavras usada os nomes dos diretórios encontrados).\
|
||
|
Ferramentas:
|
||
|
|
||
|
* **Dirb** / **Dirbuster** - Incluído no Kali, **antigo** (e **lento**) mas funcional. Permite certificados auto-assinados e busca recursiva. Muito lento em comparação com as outras opções.
|
||
|
* [**Dirsearch**](https://github.com/maurosoria/dirsearch) (python)**: Não permite certificados auto-assinados, mas** permite busca recursiva.
|
||
|
* [**Gobuster**](https://github.com/OJ/gobuster) (go): Permite certificados auto-assinados, **não** possui busca **recursiva**.
|
||
|
* [**Feroxbuster**](https://github.com/epi052/feroxbuster) **- Rápido, suporta busca recursiva.**
|
||
|
* [**wfuzz**](https://github.com/xmendez/wfuzz) `wfuzz -w /usr/share/seclists/Discovery/Web-Content/raft-medium-directories.txt https://domain.com/api/FUZZ`
|
||
|
* [**ffuf** ](https://github.com/ffuf/ffuf)- Rápido: `ffuf -c -w /usr/share/wordlists/dirb/big.txt -u http://10.10.10.10/FUZZ`
|
||
|
* [**uro**](https://github.com/s0md3v/uro) (python): Esta não é uma spider, mas uma ferramenta que, dada a lista de URLs encontradas, irá deletar URLs "duplicadas".
|
||
|
* [**Scavenger**](https://github.com/0xDexter0us/Scavenger): Extensão Burp para criar uma lista de diretórios a partir do histórico do burp de diferentes páginas.
|
||
|
* [**TrashCompactor**](https://github.com/michael1026/trashcompactor): Remove URLs com funcionalidades duplicadas (baseado em imports js).
|
||
|
* [**Chamaleon**](https://github.com/iustin24/chameleon): Usa wapalyzer para detectar tecnologias usadas e selecionar as listas de palavras a serem usadas.
|
||
|
|
||
|
**Dicionários recomendados:**
|
||
|
|
||
|
* [https://github.com/carlospolop/Auto\_Wordlists/blob/main/wordlists/bf\_directories.txt](https://github.com/carlospolop/Auto_Wordlists/blob/main/wordlists/bf_directories.txt)
|
||
|
* [**Dicionário incluído do Dirsearch**](https://github.com/maurosoria/dirsearch/blob/master/db/dicc.txt)
|
||
|
* [http://gist.github.com/jhaddix/b80ea67d85c13206125806f0828f4d10](http://gist.github.com/jhaddix/b80ea67d85c13206125806f0828f4d10)
|
||
|
* [Listas de palavras Assetnote](https://wordlists.assetnote.io)
|
||
|
* [https://github.com/danielmiessler/SecLists/tree/master/Discovery/Web-Content](https://github.com/danielmiessler/SecLists/tree/master/Discovery/Web-Content)
|
||
|
* raft-large-directories-lowercase.txt
|
||
|
* directory-list-2.3-medium.txt
|
||
|
* RobotsDisallowed/top10000.txt
|
||
|
* [https://github.com/random-robbie/bruteforce-lists](https://github.com/random-robbie/bruteforce-lists)
|
||
|
* [https://github.com/google/fuzzing/tree/master/dictionaries](https://github.com/google/fuzzing/tree/master/dictionaries)
|
||
|
* [https://github.com/six2dez/OneListForAll](https://github.com/six2dez/OneListForAll)
|
||
|
* [https://github.com/random-robbie/bruteforce-lists](https://github.com/random-robbie/bruteforce-lists)
|
||
|
* [https://github.com/ayoubfathi/leaky-paths](https://github.com/ayoubfathi/leaky-paths)
|
||
|
* _/usr/share/wordlists/dirb/common.txt_
|
||
|
* _/usr/share/wordlists/dirb/big.txt_
|
||
|
* _/usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt_
|
||
|
|
||
|
_Observe que sempre que um novo diretório for descoberto durante a força bruta ou spidering, ele deve ser forçado._
|
||
|
|
||
|
### O que verificar em cada arquivo encontrado
|
||
|
|
||
|
* [**Broken link checker**](https://github.com/stevenvachon/broken-link-checker): Encontrar links quebrados dentro de HTMLs que podem estar propensos a tomadas de controle.
|
||
|
* **Backups de Arquivos**: Uma vez que você tenha encontrado todos os arquivos, procure por backups de todos os arquivos executáveis ("_.php_", "_.aspx_"...). Variações comuns para nomear um backup são: _file.ext\~, #file.ext#, \~file.ext, file.ext.bak, file.ext.tmp, file.ext.old, file.bak, file.tmp e file.old._ Você também pode usar a ferramenta [**bfac**](https://github.com/mazen160/bfac) **ou** [**backup-gen**](https://github.com/Nishantbhagat57/backup-gen)**.**
|
||
|
* **Descobrir novos parâmetros**: Você pode usar ferramentas como [**Arjun**](https://github.com/s0md3v/Arjun)**,** [**parameth**](https://github.com/maK-/parameth)**,** [**x8**](https://github.com/sh1yo/x8) **e** [**Param Miner**](https://github.com/PortSwigger/param-miner) **para descobrir parâmetros ocultos. Se puder, você pode tentar buscar** parâmetros ocultos em cada arquivo web executável.
|
||
|
* _Arjun todas as listas de palavras padrão:_ [https://github.com/s0md3v/Arjun/tree/master/arjun/db](https://github.com/s0md3v/Arjun/tree/master/arjun/db)
|
||
|
* _Param-miner “params” :_ [https://github.com/PortSwigger/param-miner/blob/master/resources/params](https://github.com/PortSwigger/param-miner/blob/master/resources/params)
|
||
|
* _Assetnote “parameters\_top\_1m”:_ [https://wordlists.assetnote.io/](https://wordlists.assetnote.io)
|
||
|
* _nullenc0de “params.txt”:_ [https://gist.github.com/nullenc0de/9cb36260207924f8e1787279a05eb773](https://gist.github.com/nullenc0de/9cb36260207924f8e1787279a05eb773)
|
||
|
* **Comentários:** Verifique os comentários de todos os arquivos, você pode encontrar **credenciais** ou **funcionalidade oculta**.
|
||
|
* Se você estiver jogando **CTF**, um truque "comum" é **esconder** **informações** dentro de comentários à **direita** da **página** (usando **centenas** de **espaços** para que você não veja os dados se abrir o código-fonte com o navegador). Outra possibilidade é usar **várias novas linhas** e **esconder informações** em um comentário na **parte inferior** da página web.
|
||
|
* **Chaves de API**: Se você **encontrar alguma chave de API**, há um guia que indica como usar chaves de API de diferentes plataformas: [**keyhacks**](https://github.com/streaak/keyhacks)**,** [**zile**](https://github.com/xyele/zile.git)**,** [**truffleHog**](https://github.com/trufflesecurity/truffleHog)**,** [**SecretFinder**](https://github.com/m4ll0k/SecretFinder)**,** [**RegHex**](https://github.com/l4yton/RegHex\)/)**,** [**DumpsterDive**](https://github.com/securing/DumpsterDiver)**,** [**EarlyBird**](https://github.com/americanexpress/earlybird).
|
||
|
* Chaves de API do Google: Se você encontrar alguma chave de API parecida com **AIza**SyA-qLheq6xjDiEIRisP\_ujUseYLQCHUjik, você pode usar o projeto [**gmapapiscanner**](https://github.com/ozguralp/gmapsapiscanner) para verificar quais APIs a chave pode acessar.
|
||
|
* **Buckets S3**: Enquanto faz spidering, veja se algum **subdomínio** ou algum **link** está relacionado a algum **bucket S3**. Nesse caso, [**verifique** as **permissões** do bucket](buckets/).
|
||
|
|
||
|
### Descobertas especiais
|
||
|
|
||
|
**Enquanto** realiza o **spidering** e **força bruta**, você pode encontrar **coisas** **interessantes** que deve **notar**.
|
||
|
|
||
|
**Arquivos interessantes**
|
||
|
|
||
|
* Procure por **links** para outros arquivos dentro dos **arquivos CSS**.
|
||
|
* [Se você encontrar um arquivo _**.git**_, algumas informações podem ser extraídas](git.md).
|
||
|
* Se você encontrar um _**.env**_, informações como chaves de API, senhas de bancos de dados e outras informações podem ser encontradas.
|
||
|
* Se você encontrar **endpoints de API**, você [também deve testá-los](web-api-pentesting.md). Estes não são arquivos, mas provavelmente "parecerão" com eles.
|
||
|
* **Arquivos JS**: Na seção de spidering, várias ferramentas que podem extrair caminhos de arquivos JS foram mencionadas. Além disso, seria interessante **monitorar cada arquivo JS encontrado**, pois em algumas ocasiões, uma mudança pode indicar que uma vulnerabilidade potencial foi introduzida no código. Você poderia usar, por exemplo, [**JSMon**](https://github.com/robre/jsmon)**.**
|
||
|
* Você também deve verificar os arquivos JS descobertos com [**RetireJS**](https://github.com/retirejs/retire.js/) ou [**JSHole**](https://github.com/callforpapers-source/jshole) para descobrir se são vulneráveis.
|
||
|
* **Deobfuscador e Desempacotador de Javascript:** [https://lelinhtinh.github.io/de4js/](https://lelinhtinh.github.io/de4js/), [https://www.dcode.fr/javascript-unobfuscator](https://www.dcode.fr/javascript-unobfuscator).
|
||
|
* **Embelezador de Javascript:** [http://jsbeautifier.org/](https://beautifier.io), [http://jsnice.org/](http://jsnice.org).
|
||
|
* **Deobfuscação JsFuck** (javascript com caracteres:"\[]!+" [https://enkhee-osiris.github.io/Decoder-JSFuck/](https://enkhee-osiris.github.io/Decoder-JSFuck/)).
|
||
|
* [**TrainFuck**](https://github.com/taco-c/trainfuck)**:** `+72.+29.+7..+3.-67.-12.+55.+24.+3.-6.-8.-67.-23.`
|
||
|
* Em várias ocasiões, você precisará **entender as expressões regulares** usadas. Isso será útil: [https://regex101.com/](https://regex101.com) ou [https://pythonium.net/regex](https://pythonium.net/regex).
|
||
|
* Você também pode **monitorar os arquivos onde os formulários foram detectados**, pois uma mudança no parâmetro ou o aparecimento de um novo formulário pode indicar uma nova funcionalidade vulnerável potencial.
|
||
|
|
||
|
**403 Forbidden/Basic Authentication/401 Unauthorized (bypass)**
|
||
|
|
||
|
{% content-ref url="403-and-401-bypasses.md" %}
|
||
|
[403-and-401-bypasses.md](403-and-401-bypasses.md)
|
||
|
{% endcontent-ref %}
|
||
|
|
||
|
**502 Proxy Error**
|
||
|
|
||
|
Se alguma página **responder** com esse **código**, provavelmente é um **proxy mal configurado**. **Se você enviar uma requisição HTTP como: `GET https://google.com HTTP/1.1`** (com o cabeçalho host e outros cabeçalhos comuns), o **proxy** tentará **acessar** _**google.com**_ **e você terá encontrado um** SSRF.
|
||
|
|
||
|
**Autenticação NTLM - Divulgação de informações**
|
||
|
|
||
|
Se o servidor em execução que pede autenticação é **Windows** ou você encontra um login pedindo suas **credenciais** (e pedindo o **nome do domínio**), você pode provocar uma **divulgação de informações**.\
|
||
|
**Envie** o **cabeçalho**: `“Authorization: NTLM TlRMTVNTUAABAAAAB4IIAAAAAAAAAAAAAAAAAAAAAAA=”` e devido a como a **autenticação NTLM funciona**, o servidor responderá com informações internas (versão do IIS, versão do Windows...) dentro do cabeçalho "WWW-Authenticate".\
|
||
|
Você pode **automatizar** isso usando o **plugin nmap** "_http-ntlm-info.nse_".
|
||
|
|
||
|
**Redirecionamento HTTP (CTF)**
|
||
|
|
||
|
É possível **colocar conteúdo** dentro de um **Redirecionamento**. Este conteúdo **não será mostrado ao usuário** (já que o navegador executará o redirecionamento), mas algo pode estar **escondido** lá.
|
||
|
|
||
|
### Verificação de Vulnerabilidades Web
|
||
|
|
||
|
Agora que uma enumeração abrangente da aplicação web foi realizada, é hora de verificar muitas possíveis vulnerabilidades. Você pode encontrar a lista de verificação aqui:
|
||
|
|
||
|
{% content-ref url="../../pentesting-web/web-vulnerabilities-methodology.md" %}
|
||
|
[web-vulnerabilities-methodology.md](../../pentesting-web/web-vulnerabilities-methodology.md)
|
||
|
{% endcontent-ref %}
|
||
|
|
||
|
Encontre mais informações sobre vulnerabilidades web em:
|
||
|
|
||
|
* [https://six2dez.gitbook.io/pentest-book/others/web-checklist](https://six2dez.gitbook.io/pentest-book/others/web-checklist)
|
||
|
* [https://kennel209.gitbooks.io/owasp-testing-guide-v4/content/en/web\_application\_security\_testing/configuration\_and\_deployment\_management\_testing.html](https://kennel209.gitbooks.io/owasp-testing-guide-v4/content/en/web_application_security_testing/configuration_and_deployment_management_testing.html)
|
||
|
* [https://owasp-skf.gitbook.io/asvs-write-ups/kbid-111-client-side-template-injection](https://owasp-skf.gitbook.io/asvs-write-ups/kbid-111-client-side-template-injection)
|
||
|
|
||
|
### Monitorar Páginas para mudanças
|
||
|
|
||
|
Você pode usar ferramentas como [https://github.com/dgtlmoon/changedetection.io](https://github.com/dgtlmoon/changedetection.io) para monitorar páginas para modificações que possam inserir vulnerabilidades.
|
||
|
|
||
|
<figure><img src="../../.gitbook/assets/pentest-tools.svg" alt=""><figcaption></figcaption></figure>
|
||
|
|
||
|
**Obtenha a perspectiva de um hacker sobre suas aplicações web, rede e nuvem**
|
||
|
|
||
|
**Encontre e relate vulnerabilidades críticas e exploráveis com impacto real nos negócios.** Use nossas 20+ ferramentas personalizadas para mapear a superfície de ataque, encontrar problemas de segurança que permitem que você escale privilégios e use exploits automatizados para coletar evidências essenciais, transformando seu trabalho árduo em relatórios persuasivos.
|
||
|
|
||
|
{% embed url="https://pentest-tools.com/?utm_term=jul2024&utm_medium=link&utm_source=hacktricks&utm_campaign=spons" %}
|
||
|
|
||
|
### HackTricks Comandos Automáticos
|
||
|
```
|
||
|
Protocol_Name: Web #Protocol Abbreviation if there is one.
|
||
|
Port_Number: 80,443 #Comma separated if there is more than one.
|
||
|
Protocol_Description: Web #Protocol Abbreviation Spelled out
|
||
|
|
||
|
Entry_1:
|
||
|
Name: Notes
|
||
|
Description: Notes for Web
|
||
|
Note: |
|
||
|
https://book.hacktricks.xyz/pentesting/pentesting-web
|
||
|
|
||
|
Entry_2:
|
||
|
Name: Quick Web Scan
|
||
|
Description: Nikto and GoBuster
|
||
|
Command: nikto -host {Web_Proto}://{IP}:{Web_Port} &&&& gobuster dir -w {Small_Dirlist} -u {Web_Proto}://{IP}:{Web_Port} && gobuster dir -w {Big_Dirlist} -u {Web_Proto}://{IP}:{Web_Port}
|
||
|
|
||
|
Entry_3:
|
||
|
Name: Nikto
|
||
|
Description: Basic Site Info via Nikto
|
||
|
Command: nikto -host {Web_Proto}://{IP}:{Web_Port}
|
||
|
|
||
|
Entry_4:
|
||
|
Name: WhatWeb
|
||
|
Description: General purpose auto scanner
|
||
|
Command: whatweb -a 4 {IP}
|
||
|
|
||
|
Entry_5:
|
||
|
Name: Directory Brute Force Non-Recursive
|
||
|
Description: Non-Recursive Directory Brute Force
|
||
|
Command: gobuster dir -w {Big_Dirlist} -u {Web_Proto}://{IP}:{Web_Port}
|
||
|
|
||
|
Entry_6:
|
||
|
Name: Directory Brute Force Recursive
|
||
|
Description: Recursive Directory Brute Force
|
||
|
Command: python3 {Tool_Dir}dirsearch/dirsearch.py -w {Small_Dirlist} -e php,exe,sh,py,html,pl -f -t 20 -u {Web_Proto}://{IP}:{Web_Port} -r 10
|
||
|
|
||
|
Entry_7:
|
||
|
Name: Directory Brute Force CGI
|
||
|
Description: Common Gateway Interface Brute Force
|
||
|
Command: gobuster dir -u {Web_Proto}://{IP}:{Web_Port}/ -w /usr/share/seclists/Discovery/Web-Content/CGIs.txt -s 200
|
||
|
|
||
|
Entry_8:
|
||
|
Name: Nmap Web Vuln Scan
|
||
|
Description: Tailored Nmap Scan for web Vulnerabilities
|
||
|
Command: nmap -vv --reason -Pn -sV -p {Web_Port} --script=`banner,(http* or ssl*) and not (brute or broadcast or dos or external or http-slowloris* or fuzzer)` {IP}
|
||
|
|
||
|
Entry_9:
|
||
|
Name: Drupal
|
||
|
Description: Drupal Enumeration Notes
|
||
|
Note: |
|
||
|
git clone https://github.com/immunIT/drupwn.git for low hanging fruit and git clone https://github.com/droope/droopescan.git for deeper enumeration
|
||
|
|
||
|
Entry_10:
|
||
|
Name: WordPress
|
||
|
Description: WordPress Enumeration with WPScan
|
||
|
Command: |
|
||
|
?What is the location of the wp-login.php? Example: /Yeet/cannon/wp-login.php
|
||
|
wpscan --url {Web_Proto}://{IP}{1} --enumerate ap,at,cb,dbe && wpscan --url {Web_Proto}://{IP}{1} --enumerate u,tt,t,vp --passwords {Big_Passwordlist} -e
|
||
|
|
||
|
Entry_11:
|
||
|
Name: WordPress Hydra Brute Force
|
||
|
Description: Need User (admin is default)
|
||
|
Command: hydra -l admin -P {Big_Passwordlist} {IP} -V http-form-post '/wp-login.php:log=^USER^&pwd=^PASS^&wp-submit=Log In&testcookie=1:S=Location'
|
||
|
|
||
|
Entry_12:
|
||
|
Name: Ffuf Vhost
|
||
|
Description: Simple Scan with Ffuf for discovering additional vhosts
|
||
|
Command: ffuf -w {Subdomain_List}:FUZZ -u {Web_Proto}://{Domain_Name} -H "Host:FUZZ.{Domain_Name}" -c -mc all {Ffuf_Filters}
|
||
|
```
|
||
|
{% hint style="success" %}
|
||
|
Aprenda e pratique Hacking AWS:<img src="../../.gitbook/assets/arte.png" alt="" data-size="line">[**HackTricks Training AWS Red Team Expert (ARTE)**](https://training.hacktricks.xyz/courses/arte)<img src="../../.gitbook/assets/arte.png" alt="" data-size="line">\
|
||
|
Aprenda e pratique Hacking GCP: <img src="../../.gitbook/assets/grte.png" alt="" data-size="line">[**HackTricks Training GCP Red Team Expert (GRTE)**<img src="../../.gitbook/assets/grte.png" alt="" data-size="line">](https://training.hacktricks.xyz/courses/grte)
|
||
|
|
||
|
<details>
|
||
|
|
||
|
<summary>Suporte ao HackTricks</summary>
|
||
|
|
||
|
* Confira os [**planos de assinatura**](https://github.com/sponsors/carlospolop)!
|
||
|
* **Junte-se ao** 💬 [**grupo do Discord**](https://discord.gg/hRep4RUj7f) ou ao [**grupo do telegram**](https://t.me/peass) ou **siga**-nos no **Twitter** 🐦 [**@hacktricks\_live**](https://twitter.com/hacktricks_live)**.**
|
||
|
* **Compartilhe truques de hacking enviando PRs para os repositórios do** [**HackTricks**](https://github.com/carlospolop/hacktricks) e [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud).
|
||
|
|
||
|
</details>
|
||
|
{% endhint %}
|