hacktricks/network-services-pentesting/pentesting-web/README.md

# 80,443 - Metodologija Pentestinga Veb Sajtova

<details>

<summary><strong>Naučite hakovanje AWS-a od nule do heroja sa</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (HackTricks AWS Red Team Expert)</strong></a><strong>!</strong></summary>

Drugi načini podrške HackTricks-u:

* Ako želite da vidite svoju **kompaniju reklamiranu na HackTricks-u** ili da **preuzmete HackTricks u PDF formatu** proverite [**PLANOVE ZA PRIJATELJSTVO**](https://github.com/sponsors/carlospolop)!
* Nabavite [**zvanični PEASS & HackTricks swag**](https://peass.creator-spring.com)
* Otkrijte [**Porodicu PEASS**](https://opensea.io/collection/the-peass-family), našu kolekciju ekskluzivnih [**NFT-ova**](https://opensea.io/collection/the-peass-family)
* **Pridružite se** 💬 [**Discord grupi**](https://discord.gg/hRep4RUj7f) ili [**telegram grupi**](https://t.me/peass) ili nas **pratite** na **Twitteru** 🐦 [**@carlospolopm**](https://twitter.com/hacktricks\_live)**.**
* **Podelite svoje hakovanje trikove slanjem PR-ova na** [**HackTricks**](https://github.com/carlospolop/hacktricks) i [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github repozitorijume.

</details>

<figure><img src="../../.gitbook/assets/image (1) (1).png" alt=""><figcaption></figcaption></figure>

Ako ste zainteresovani za **karijeru u hakovanju** i hakovanje onoga što se ne može hakovati - **zapošljavamo!** (_potrebno je tečno poznavanje poljskog jezika, kako pismeno tako i usmeno_).

{% embed url="https://www.stmcyber.com/careers" %}

## Osnovne Informacije

Veb servis je naj**češći i najopsežniji servis** i postoji mnogo **različitih vrsta ranjivosti**.

**Podrazumevani port:** 80 (HTTP), 443(HTTPS)
```bash
PORT    STATE SERVICE
80/tcp  open  http
443/tcp open  ssl/https
```

```bash
nc -v domain.com 80 # GET / HTTP/1.0
openssl s_client -connect domain.com:443 # GET / HTTP/1.0
```
### Vodič za Web API

{% content-ref url="web-api-pentesting.md" %}
[web-api-pentesting.md](web-api-pentesting.md)
{% endcontent-ref %}

## Rezime metodologije

> U ovoj metodologiji pretpostavljamo da ćete napasti domen (ili poddomen) i samo to. Stoga, trebalo bi primeniti ovu metodologiju na svaki otkriveni domen, poddomen ili IP sa nepoznatim web serverom unutar opsega.

* [ ] Počnite sa **identifikacijom** korišćenih **tehnologija** web servera. Potražite **tričarije** koje treba imati na umu tokom ostatka testa ako uspešno identifikujete tehnologiju.
* [ ] Da li postoji **poznata ranjivost** verzije te tehnologije?
* [ ] Korišćenje neke **dobro poznate tehnologije**? Bilo kakav **koristan trik** za izvlačenje više informacija?
* [ ] Da li postoji **specijalizovani skener** za pokretanje (poput wpscan-a)?
* [ ] Pokrenite **skenere opšte namene**. Nikad ne znate da li će pronaći nešto ili ako će pronaći neke zanimljive informacije.
* [ ] Počnite sa **inicijalnim proverama**: **robots**, **sitemap**, **404** greška i **SSL/TLS sken** (ako je HTTPS).
* [ ] Počnite sa **spideringom** web stranice: Vreme je da **pronađete** sve moguće **datoteke, fascikle** i **parametre koji se koriste**. Takođe, proverite **specijalna otkrića**.
* [ ] _Imajte na umu da svaki put kada se otkrije nova fascikla tokom brute-forcinga ili spideringa, treba je spiderovati._
* [ ] **Brute-Force direktorijuma**: Pokušajte da brute force-ujete sve otkrivene fascikle tražeći nove **datoteke** i **direktorijume**.
* [ ] _Imajte na umu da svaki put kada se otkrije nova fascikla tokom brute-forcinga ili spideringa, treba je Brute-Force-ovati._
* [ ] **Provera rezervnih kopija**: Testirajte da li možete pronaći **rezervne kopije** otkrivenih datoteka dodavanjem uobičajenih ekstenzija za rezervne kopije.
* [ ] **Brute-Force parametara**: Pokušajte da **pronađete skrivene parametre**.
* [ ] Kada ste **identifikovali** sve moguće **krajnje tačke** koje prihvataju **korisnički unos**, proverite sve vrste **ranjivosti** povezane sa tim.
* [ ] [Pratite ovu listu provere](../../pentesting-web/web-vulnerabilities-methodology.md)

## Verzija servera (Ranjiva?)

### Identifikacija

Proverite da li postoje **poznate ranjivosti** za verziju servera koja se koristi.\
**HTTP zaglavlja i kolačići odgovora** mogu biti veoma korisni za **identifikaciju** korišćenih **tehnologija** i/ili **verzije**. **Nmap skeniranje** može identifikovati verziju servera, ali mogu biti korisni i alati [**whatweb**](https://github.com/urbanadventurer/WhatWeb)**,** [**webtech** ](https://github.com/ShielderSec/webtech)ili [**https://builtwith.com/**](https://builtwith.com)**:**
```bash
whatweb -a 1 <URL> #Stealthy
whatweb -a 3 <URL> #Aggresive
webtech -u <URL>
webanalyze -host https://google.com -crawl 2
```
Pretraga **za** [**ranjivosti veb aplikacije** **verzije**](../../generic-methodologies-and-resources/search-exploits.md)

### **Provera da li postoji WAF**

* [**https://github.com/EnableSecurity/wafw00f**](https://github.com/EnableSecurity/wafw00f)
* [**https://github.com/Ekultek/WhatWaf.git**](https://github.com/Ekultek/WhatWaf.git)
* [**https://nmap.org/nsedoc/scripts/http-waf-detect.html**](https://nmap.org/nsedoc/scripts/http-waf-detect.html)

### Trikovi za veb tehnologije

Neki **trikovi** za **pronalaženje ranjivosti** u različitim dobro poznatim **tehnologijama** koje se koriste:

* [**AEM - Adobe Experience Cloud**](aem-adobe-experience-cloud.md)
* [**Apache**](apache.md)
* [**Artifactory**](artifactory-hacking-guide.md)
* [**Buckets**](buckets/)
* [**CGI**](cgi.md)
* [**Drupal**](drupal.md)
* [**Flask**](flask.md)
* [**Git**](git.md)
* [**Golang**](golang.md)
* [**GraphQL**](graphql.md)
* [**H2 - Java SQL baza podataka**](h2-java-sql-database.md)
* [**IIS trikovi**](iis-internet-information-services.md)
* [**JBOSS**](jboss.md)
* [**Jenkins**](https://github.com/carlospolop/hacktricks/blob/master/network-services-pentesting/pentesting-web/broken-reference/README.md)
* [**Jira**](jira.md)
* [**Joomla**](joomla.md)
* [**JSP**](jsp.md)
* [**Laravel**](laravel.md)
* [**Moodle**](moodle.md)
* [**Nginx**](nginx.md)
* [**PHP (php ima mnogo zanimljivih trikova koji mogu biti iskorišćeni)**](php-tricks-esp/)
* [**Python**](python.md)
* [**Spring Actuators**](spring-actuators.md)
* [**Symphony**](symphony.md)
* [**Tomcat**](tomcat/)
* [**VMWare**](vmware-esx-vcenter....md)
* [**Web API Pentesting**](web-api-pentesting.md)
* [**WebDav**](put-method-webdav.md)
* [**Werkzeug**](werkzeug.md)
* [**Wordpress**](wordpress.md)
* [**Electron Desktop (XSS to RCE)**](electron-desktop-apps/)

_Uzmite u obzir da **isti domen** može koristiti **različite tehnologije** na različitim **portovima**, **folderima** i **poddomenima**._\
Ako veb aplikacija koristi neku od dobro poznatih **tehnologija/platformi navedenih ranije** ili **bilo koju drugu**, ne zaboravite da **pretražite Internet** za nove trikove (i obavestite me!).

### Pregled izvornog koda

Ako je **izvorni kod** aplikacije dostupan na **githubu**, osim što ćete sami izvršiti **White box test** aplikacije, postoji **neke informacije** koje bi mogle biti **korisne** za trenutno **Black-Box testiranje**:

* Da li postoji **Change-log ili Readme ili fajl sa verzijom** ili bilo šta sa **informacijama o verziji dostupno** putem veba?
* Kako i gde su sačuvani **kredencijali**? Postoji li (dostupan?) **fajl** sa kredencijalima (korisnička imena ili lozinke)?
* Da li su **lozinke** u **čistom tekstu**, **šifrovane** ili koji **algoritam heširanja** se koristi?
* Da li se koristi neki **master ključ** za šifrovanje nečega? Koji **algoritam** se koristi?
* Možete li **pristupiti nekom od ovih fajlova** iskorišćavanjem neke ranjivosti?
* Da li postoji neka **zanimljiva informacija na githubu** (rešeni i nerešeni) **problemi**? Ili u **istoriji commitova** (možda neka **lozinka uneta unutar starog commita**)?

{% content-ref url="code-review-tools.md" %}
[code-review-tools.md](code-review-tools.md)
{% endcontent-ref %}

### Automatski skeneri

#### Automatski skeneri opšte namene
```bash
nikto -h <URL>
whatweb -a 4 <URL>
wapiti -u <URL>
W3af
zaproxy #You can use an API
nuclei -ut && nuclei -target <URL>

# https://github.com/ignis-sec/puff (client side vulns fuzzer)
node puff.js -w ./wordlist-examples/xss.txt -u "http://www.xssgame.com/f/m4KKGHi2rVUN/?query=FUZZ"
```
#### Skeneri CMS-a

Ako se koristi CMS, ne zaboravite **pokrenuti skener**, možda pronađete nešto zanimljivo:

[**Clusterd**](https://github.com/hatRiot/clusterd)**:** [**JBoss**](jboss.md)**, ColdFusion, WebLogic,** [**Tomcat**](tomcat/)**, Railo, Axis2, Glassfish**\
[**CMSScan**](https://github.com/ajinabraham/CMSScan): [**WordPress**](wordpress.md), [**Drupal**](drupal.md), **Joomla**, **vBulletin** web sajtove zbog sigurnosnih problema. (GUI)\
[**VulnX**](https://github.com/anouarbensaad/vulnx)**:** [**Joomla**](joomla.md)**,** [**Wordpress**](wordpress.md)**,** [**Drupal**](drupal.md)**, PrestaShop, Opencart**\
**CMSMap**: [**(W)ordpress**](wordpress.md)**,** [**(J)oomla**](joomla.md)**,** [**(D)rupal**](drupal.md) **ili** [**(M)oodle**](moodle.md)\
[**droopscan**](https://github.com/droope/droopescan)**:** [**Drupal**](drupal.md)**,** [**Joomla**](joomla.md)**,** [**Moodle**](moodle.md)**, Silverstripe,** [**Wordpress**](wordpress.md)
```bash
cmsmap [-f W] -F -d <URL>
wpscan --force update -e --url <URL>
joomscan --ec -u <URL>
joomlavs.rb #https://github.com/rastating/joomlavs
```
> U ovom trenutku već biste trebali imati neke informacije o web serveru koji koristi klijent (ako su dostupni podaci) i neke trikove na umu tokom testa. Ako imate sreće, možda ste čak pronašli CMS i pokrenuli neki skener.

## Otkrivanje web aplikacije korak po korak

> Od ovog trenutka počinjemo interakciju sa web aplikacijom.

### Početne provere

**Podrazumevane stranice sa zanimljivim informacijama:**

* /robots.txt
* /sitemap.xml
* /crossdomain.xml
* /clientaccesspolicy.xml
* /.well-known/
* Takođe proverite komentare na glavnim i sekundarnim stranicama.

**Prisiljavanje grešaka**

Veb serveri se mogu **neočekivano ponašati** kada im se šalju čudni podaci. To može otvoriti **ranjivosti** ili **otkriti osetljive informacije**.

* Pristupite **lažnim stranicama** poput /bilo\_šta\_lažno.php (.aspx,.html,.itd)
* Dodajte "\[]", "]]" i "\[\[" u vrednosti **kolačića** i vrednosti **parametara** da biste izazvali greške
* Generišite grešku dajući unos kao **`/~randomnesto/%s`** na **kraju** **URL-a**
* Pokušajte sa **različitim HTTP glagolima** poput PATCH, DEBUG ili pogrešnim poput FAKE

#### **Proverite da li možete da otpremite fajlove (**[**PUT glagol, WebDav**](put-method-webdav.md)**)**

Ako otkrijete da je **WebDav** **omogućen** ali nemate dovoljno dozvola za **otpemljivanje fajlova** u osnovnom folderu, pokušajte:

* **Bruteforce** pristupne podatke
* **Otpremite fajlove** putem WebDav-a u **ostale** pronađene foldere unutar web stranice. Možda imate dozvole za otpremanje fajlova u drugim folderima.

### **Ranjivosti SSL/TLS**

* Ako aplikacija **ne zahteva korišćenje HTTPS** od korisnika ni u jednom trenutku, onda je **ranjiva na MitM**.
* Ako aplikacija **šalje osetljive podatke (šifre) koristeći HTTP**. Tada je to visoka ranjivost.

Koristite [**testssl.sh**](https://github.com/drwetter/testssl.sh) za provere **ranjivosti** (U programima za Bug Bounty verovatno ove vrste ranjivosti neće biti prihvaćene) i koristite [**a2sv** ](https://github.com/hahwul/a2sv) za ponovnu proveru ranjivosti:
```bash
./testssl.sh [--htmlfile] 10.10.10.10:443
#Use the --htmlfile to save the output inside an htmlfile also

# You can also use other tools, by testssl.sh at this momment is the best one (I think)
sslscan <host:port>
sslyze --regular <ip:port>
```
Informacije o ranjivostima SSL/TLS protokola:

* [https://www.gracefulsecurity.com/tls-ssl-vulnerabilities/](https://www.gracefulsecurity.com/tls-ssl-vulnerabilities/)
* [https://www.acunetix.com/blog/articles/tls-vulnerabilities-attacks-final-part/](https://www.acunetix.com/blog/articles/tls-vulnerabilities-attacks-final-part/)

### Spidering

Pokrenite neku vrstu **spidera** unutar veba. Cilj spajdera je da **pronađe što više putanja** kao moguće iz testirane aplikacije. Stoga, pretraživanje veba i spoljni izvori treba da se koriste kako bi se pronašlo što više validnih putanja.

* [**gospider**](https://github.com/jaeles-project/gospider) (go): HTML spider, LinkFinder u JS fajlovima i spoljni izvori (Archive.org, CommonCrawl.org, VirusTotal.com, AlienVault.com).
* [**hakrawler**](https://github.com/hakluke/hakrawler) (go): HTML spider, sa LinkFiderom za JS fajlove i Archive.org kao spoljni izvor.
* [**dirhunt**](https://github.com/Nekmo/dirhunt) (python): HTML spider, takođe pokazuje "sočne fajlove".
* [**evine** ](https://github.com/saeeddhqan/evine)(go): Interaktivni CLI HTML spider. Takođe pretražuje u Archive.org
* [**meg**](https://github.com/tomnomnom/meg) (go): Ovaj alat nije spider ali može biti koristan. Možete samo naznačiti fajl sa hostovima i fajl sa putanjama i meg će dohvatiti svaku putanju na svakom hostu i sačuvati odgovor.
* [**urlgrab**](https://github.com/IAmStoxe/urlgrab) (go): HTML spider sa mogućnostima JS renderovanja. Međutim, izgleda da nije održavan, prekompajlirana verzija je stara i trenutni kod se ne kompajlira.
* [**gau**](https://github.com/lc/gau) (go): HTML spider koji koristi spoljne provajdere (wayback, otx, commoncrawl)
* [**ParamSpider**](https://github.com/devanshbatham/ParamSpider): Ovaj skript će pronaći URL-ove sa parametrima i izlistati ih.
* [**galer**](https://github.com/dwisiswant0/galer) (go): HTML spider sa mogućnostima JS renderovanja.
* [**LinkFinder**](https://github.com/GerbenJavado/LinkFinder) (python): HTML spider, sa mogućnostima JS lepote sposoban da traži nove putanje u JS fajlovima. Takođe bi bilo vredno pogledati i [JSScanner](https://github.com/dark-warlord14/JSScanner), koji je omotač za LinkFinder.
* [**goLinkFinder**](https://github.com/0xsha/GoLinkFinder) (go): Za izdvajanje krajnjih tačaka u HTML izvornom kodu i ugrađenim JS fajlovima. Korisno za lovce na bagove, timove crvenih šešira, infosec ninje.
* [**JSParser**](https://github.com/nahamsec/JSParser) (python2.7): Python 2.7 skript koji koristi Tornado i JSBeautifier za parsiranje relativnih URL-ova iz JavaScript fajlova. Korisno za lako otkrivanje AJAX zahteva. Izgleda da nije održavan.
* [**relative-url-extractor**](https://github.com/jobertabma/relative-url-extractor) (ruby): Dajući fajl (HTML) izvući će URL-ove iz njega koristeći pametne regularne izraze za pronalaženje i izdvajanje relativnih URL-ova iz ružnih (minifikovanih) fajlova.
* [**JSFScan**](https://github.com/KathanP19/JSFScan.sh) (bash, nekoliko alata): Sakuplja interesantne informacije iz JS fajlova koristeći nekoliko alata.
* [**subjs**](https://github.com/lc/subjs) (go): Pronalazi JS fajlove.
* [**page-fetch**](https://github.com/detectify/page-fetch) (go): Učitava stranicu u headless pretraživaču i ispisuje sve učitane URL-ove za učitavanje stranice.
* [**Feroxbuster**](https://github.com/epi052/feroxbuster) (rust): Alat za otkrivanje sadržaja koji kombinuje nekoliko opcija prethodnih alata
* [**Javascript Parsing**](https://github.com/xnl-h4ck3r/burp-extensions): Burp ekstenzija za pronalaženje putanja i parametara u JS fajlovima.
* [**Sourcemapper**](https://github.com/denandz/sourcemapper): Alat koji će vam dati beatificirani JS kod dajući .js.map URL
* [**xnLinkFinder**](https://github.com/xnl-h4ck3r/xnLinkFinder): Ovo je alat koji se koristi za otkrivanje krajnjih tačaka za dati cilj.
* [**waymore**](https://github.com/xnl-h4ck3r/waymore)**:** Otkrijte linkove sa wayback mašine (takođe preuzimajući odgovore u wayback i tražeći više linkova
* [**HTTPLoot**](https://github.com/redhuntlabs/HTTPLoot) (go): Pretražujte (čak i popunjavanjem formi) i takođe pronađite osetljive informacije koristeći specifične regexe.
* [**SpiderSuite**](https://github.com/3nock/SpiderSuite): Spider Suite je napredni višefunkcionalni GUI web sigurnosni Crawler/Spider dizajniran za profesionalce u oblasti sajber sigurnosti.
* [**jsluice**](https://github.com/BishopFox/jsluice) (go): To je Go paket i [komandno-linijski alat](https://github.com/BishopFox/jsluice/blob/main/cmd/jsluice) za izdvajanje URL-ova, putanja, tajni i drugih interesantnih podataka iz izvornog koda JavaScript-a.
* [**ParaForge**](https://github.com/Anof-cyber/ParaForge): ParaForge je jednostavno **Burp Suite proširenje** za **izdvajanje parametara i krajnjih tačaka** iz zahteva kako bi se kreirala prilagođena lista reči za fuzzing i enumeraciju.

### Brute Force direktorijuma i fajlova

Počnite **brute-forcing** od korenskog foldera i budite sigurni da **brute-forceujete** **sve** **pronađene direktorijume** koristeći **ovu metodu** i sve direktorijume **otkrivene** pomoću **Spideringa** (možete ovo brute-forcing raditi **rekurzivno** i dodavati na početak korišćene liste reči imena pronađenih direktorijuma).\
Alati:

* **Dirb** / **Dirbuster** - Uključen u Kali, **star** (i **spor**) ali funkcionalan. Dozvoljava auto-potpisane sertifikate i rekurzivnu pretragu. Previše spor u poređenju sa drugim opcijama.
* [**Dirsearch**](https://github.com/maurosoria/dirsearch) (python)**: Ne dozvoljava auto-potpisane sertifikate ali** dozvoljava rekurzivnu pretragu.
* [**Gobuster**](https://github.com/OJ/gobuster) (go): Dozvoljava auto-potpisane sertifikate, **nema** rekurzivnu pretragu.
* [**Feroxbuster**](https://github.com/epi052/feroxbuster) **- Brz, podržava rekurzivnu pretragu.**
* [**wfuzz**](https://github.com/xmendez/wfuzz) `wfuzz -w /usr/share/seclists/Discovery/Web-Content/raft-medium-directories.txt https://domain.com/api/FUZZ`
* [**ffuf** ](https://github.com/ffuf/ffuf)- Brz: `ffuf -c -w /usr/share/wordlists/dirb/big.txt -u http://10.10.10.10/FUZZ`
* [**uro**](https://github.com/s0md3v/uro) (python): Ovo nije spider već alat koji će, dajući listu pronađenih URL-ova, obrisati "duplirane" URL-ove.
* [**Scavenger**](https://github.com/0xDexter0us/Scavenger): Burp ekstenzija za kreiranje liste direktorijuma iz burp istorije različitih stranica
* [**TrashCompactor**](https://github.com/michael1026/trashcompactor): Uklanja URL-ove sa dupliciranim funkcionalnostima (bazirano na js importima)
* [**Chamaleon**](https://github.com/iustin24/chameleon): Koristi wapalyzer za otkrivanje korišćenih tehnologija i odabir listi reči za korišćenje.

**Preporučene rečnike:**

* [https://github.com/carlospolop/Auto\_Wordlists/blob/main/wordlists/bf\_directories.txt](https://github.com/carlospolop/Auto\_Wordlists/blob/main/wordlists/bf\_directories.txt)
* [**Dirsearch** uključen rečnik](https://github.com/maurosoria/dirsearch/blob/master/db/dicc.txt)
* [http://gist.github.com/jhaddix/b80ea67d85c13206125806f0828f4d10](http://gist.github.com/jhaddix/b80ea67d85c13206125806f0828f4d10)
* [Assetnote rečnici](https://wordlists.assetnote.io)
* [https://github.com/danielmiessler/SecLists/tree/master/Discovery/Web-Content](https://github.com/danielmiessler/SecLists/tree/master/Discovery/Web-Content)
* raft-large-directories-lowercase.txt
* directory-list-2.3-medium.txt
* RobotsDisallowed/top10000.txt
* [https://github.com/random-robbie/bruteforce-lists](https://github.com/random-robbie/bruteforce-lists)
* [https://github.com/google/fuzzing/tree/master/dictionaries](https://github.com/google/fuzzing/tree/master/dictionaries)
* [https://github.com/six2dez/OneListForAll](https://github.com/six2dez/OneListForAll)
* [https://github.com/random-robbie/bruteforce-lists](https://github.com/random-robbie/bruteforce-lists)
* [https://github.com/ayoubfathi/leaky-paths](https://github.com/ayoubfathi/leaky-paths)
* _/usr/share/wordlists/dirb/common.txt_
* _/usr/share/wordlists/dirb/big.txt_
* _/usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt_

_Napomena da svaki put kada se otkrije nova direktorijum tokom brute-forcinga ili spideringa, treba ga Brute-Forcovati._

### Šta proveriti na svakom pronađenom fajlu

* [**Provera pokvarenih linkova**](https://github.com/stevenvachon/broken-link-checker): Pronađite pokvarene linkove unutar HTML-ova koji mogu biti podložni preuzimanju
* **Rezervne kopije fajlova**: Kada pronađete sve fajlove, potražite rezervne kopije svih izvršnih fajlova ("_.php_", "_.aspx_"...). Uobičajene varijacije za nazivanje rezervne kopije su: _file.ext\~, #file.ext#, \~file.ext, file.ext.bak, file.ext.tmp, file.ext.old, file.bak, file.tmp i file.old._ Možete koristiti alat [**bfac**](https://github.com/mazen160/bfac) **ili** [**backup-gen**](https://github.com/Nishantbhagat57/backup-gen)**.**
* **Otkrijte nove parametre**: Možete koristiti alate poput [**Arjun**](https://github.com/s0md3v/Arjun)**,** [**parameth**](https://github.com/maK-/parameth)**,** [**x8**](https://github.com/sh1yo/x8) **i** [**Param Miner**](https://github.com/PortSwigger/param-miner) **za otkrivanje skrivenih parametara. Ako možete, možete pokušati da pronađete** skrivene parametre na svakom izvršnom veb fajlu.
* _Arjun svi podrazumevani wordlistovi:_ [https://github.com/s0md3v/Arjun/tree/master/arjun/db](https://github.com/s0md3v/Arjun/tree/master/arjun/db)
* _Param-miner “params” :_ [https://github.com/PortSwigger/param-miner/blob/master/resources/params](https://github.com/PortSwigger/param-miner/blob/master/resources/params)
* _Assetnote “parameters\_top\_1m”:_ [https://wordlists.assetnote.io/](https://wordlists.assetnote.io)
* _nullenc0de “params.txt”:_ [https://gist.github.com/nullenc0de/9cb36260207924f8e1787279a05eb773](https://gist.github.com/nullenc0de/9cb36260207924f8e1787279a05eb773)
* **Komentari:** Proverite komentare svih fajlova, možete pronaći **kredencijale** ili **skrivenu funkcionalnost**.
* Ako igrate **CTF**, "obična" prevara je **sakriti** **informacije** unutar komentara na **desnoj** strani **stranice** (koristeći **stotine** **razmaka** kako ne biste videli podatke ako otvorite izvorni kod pretraživačem). Druga mogućnost je koristiti **nekoliko novih linija** i **sakriti informacije** u komentaru na **dnu** veb stranice.
* **API ključevi**: Ako **pronađete bilo koji API ključ** postoji vodič koji pokazuje kako koristiti API ključeve različitih platformi: [**keyhacks**](https://github.com/streaak/keyhacks)**,** [**zile**](https://github.com/xyele/zile.git)**,** [**truffleHog**](https://github.com/trufflesecurity/truffleHog)**,** [**SecretFinder**](https://github.com/m4ll0k/SecretFinder)**,** [**RegHex**](https://github.com/l4yton/RegHex\)/)**,** [**DumpsterDive**](https://github.com/securing/DumpsterDiver)**,** [**EarlyBird**](https://github.com/americanexpress/earlybird)
* Google API ključevi: Ako pronađete bilo koji API ključ koji izgleda kao **AIza**SyA-qLheq6xjDiEIRisP\_ujUseYLQCHUjik možete koristiti projekat [**gmapapiscanner**](https://github.com/ozguralp/gmapsapiscanner) da proverite koje API-jeve ključ može pristupiti.
* **S3 Bucketi**: Dok spideringa, proverite da li je bilo koji **poddomen** ili bilo koji **link** povezan sa nekim **S3 bucketom**. U tom slučaju, [**proverite** dozvole **bucket-a**](buckets/).

### Posebna otkrića

**Tokom** izvođenja **spideringa** i **brute-forcinga** možete pronaći **interesantne** **stvari** koje treba **primetiti**.

**Interesantni fajlovi**

* Potražite **linkove** ka drugim fajlovima unutar **CSS** fajlova.
* [Ako pronađete _**.git**_ fajl, neke informacije mogu biti izvučene](git.md)
* Ako pronađete _**.env**_ informacije poput API ključeva, lozinki za baze podataka i druge informacije mogu biti pronađene.
* Ako pronađete **API endpointe** trebalo bi ih [testirati](web-api-pentesting.md). Ovo nisu fajlovi, ali će verovatno "izgledati kao" fajlovi.
* **JS fajlovi**: U delu o spideringu pomenuti su neki alati koji mogu izvući putanje iz JS fajlova. Takođe, bilo bi interesantno **pratiti svaki pronađeni JS fajl**, jer u nekim situacijama, promena može ukazivati da je potencijalna ranjivost uneta u kod. Možete koristiti na primer [**JSMon**](https://github.com/robre/jsmon)**.**
* Takođe biste trebali proveriti pronađene JS fajlove sa [**RetireJS**](https://github.com/retirejs/retire.js/) ili [**JSHole**](https://github.com/callforpapers-source/jshole) da biste videli da li su ranjivi.
* **Deobfuskator i dekoder JavaScript-a:** [https://lelinhtinh.github.io/de4js/](https://lelinhtinh.github.io/de4js/), [https://www.dcode.fr/javascript-unobfuscator](https://www.dcode.fr/javascript-unobfuscator)
* **Ulepšivač JavaScript-a:** [http://jsbeautifier.org/](https://beautifier.io), [http://jsnice.org/](http://jsnice.org)
* **JsFuck deobfuskacija** (javascript sa karakterima:"\[]!+" [https://ooze.ninja/javascript/poisonjs/](https://ooze.ninja/javascript/poisonjs/))
* [**TrainFuck**](https://github.com/taco-c/trainfuck)**:** `+72.+29.+7..+3.-67.-12.+55.+24.+3.-6.-8.-67.-23.`
* U nekoliko situacija će vam biti potrebno **razumeti korišćene regularne izraze**, ovo će biti korisno: [https://regex101.com/](https://regex101.com)
* Takođe biste mogli **pratiti fajlove gde su otkrivene forme**, jer promena u parametru ili pojava nove forme može ukazivati na potencijalno novu ranjivu funkcionalnost.

**403 Forbidden/Basic Authentication/401 Unauthorized (bypass)**

{% content-ref url="403-and-401-bypasses.md" %}
[403-and-401-bypasses.md](403-and-401-bypasses.md)
{% endcontent-ref %}

**502 Proxy Error**

Ako bilo koja stranica **odgovori** sa tim **kodom**, verovatno je loše konfigurisan proxy. **Ako pošaljete HTTP zahtev kao: `GET https://google.com HTTP/1.1`** (sa host zaglavljem i ostalim uobičajenim zaglavljima), proxy će pokušati da pristupi _**google.com**_ **i otkrićete SSRF.**

**NTLM Autentikacija - Otkrivanje informacija**

Ako pokrenuti server traži autentikaciju **Windows**-a ili pronađete prijavu koja traži vaše **kredencijale** (i traži **ime domena**), možete izazvati **otkrivanje informacija**.\
**Pošaljite** **zaglavlje**: `“Authorization: NTLM TlRMTVNTUAABAAAAB4IIAAAAAAAAAAAAAAAAAAAAAAA=”` i zbog toga kako **NTLM autentikacija funkcioniše**, server će odgovoriti sa internim informacijama (verzija IIS-a, verzija Windows-a...) unutar zaglavlja "WWW-Authenticate".\
Ovo možete **automatizovati** koristeći **nmap plugin** "_http-ntlm-info.nse_".

**HTTP Preusmeravanje (CTF)**

Moguće je **ubaciti sadržaj** unutar **Preusmeravanja**. Taj sadržaj **neće biti prikazan korisniku** (jer će pretraživač izvršiti preusmeravanje), ali nešto bi moglo biti **sakriveno** unutra.
### Provera ranjivosti veb stranica

Sada kada je obavljena sveobuhvatna enumeracija veb aplikacije, vreme je da se provere mnoge moguće ranjivosti. Možete pronaći listu za proveru ovde:

{% content-ref url="../../pentesting-web/web-vulnerabilities-methodology.md" %}
[web-vulnerabilities-methodology.md](../../pentesting-web/web-vulnerabilities-methodology.md)
{% endcontent-ref %}

Pronađite više informacija o ranjivostima veb stranica na:

* [https://six2dez.gitbook.io/pentest-book/others/web-checklist](https://six2dez.gitbook.io/pentest-book/others/web-checklist)
* [https://kennel209.gitbooks.io/owasp-testing-guide-v4/content/en/web\_application\_security\_testing/configuration\_and\_deployment\_management\_testing.html](https://kennel209.gitbooks.io/owasp-testing-guide-v4/content/en/web\_application\_security\_testing/configuration\_and\_deployment\_management\_testing.html)
* [https://owasp-skf.gitbook.io/asvs-write-ups/kbid-111-client-side-template-injection](https://owasp-skf.gitbook.io/asvs-write-ups/kbid-111-client-side-template-injection)

### Pratite stranice za promene

Možete koristiti alate poput [https://github.com/dgtlmoon/changedetection.io](https://github.com/dgtlmoon/changedetection.io) da pratite stranice za modifikacije koje bi mogle uneti ranjivosti.

<figure><img src="../../.gitbook/assets/image (1) (1).png" alt=""><figcaption></figcaption></figure>

Ako vas zanima **hakerska karijera** i hakovanje neuhvatljivog - **zapošljavamo!** (_potrebno je tečno poznavanje poljskog jezika u pisanju i govoru_).

{% embed url="https://www.stmcyber.com/careers" %}

### Automatske komande HackTricks
```
Protocol_Name: Web    #Protocol Abbreviation if there is one.
Port_Number:  80,443     #Comma separated if there is more than one.
Protocol_Description: Web         #Protocol Abbreviation Spelled out

Entry_1:
Name: Notes
Description: Notes for Web
Note: |
https://book.hacktricks.xyz/pentesting/pentesting-web

Entry_2:
Name: Quick Web Scan
Description: Nikto and GoBuster
Command: nikto -host {Web_Proto}://{IP}:{Web_Port} &&&& gobuster dir -w {Small_Dirlist} -u {Web_Proto}://{IP}:{Web_Port} && gobuster dir -w {Big_Dirlist} -u {Web_Proto}://{IP}:{Web_Port}

Entry_3:
Name: Nikto
Description: Basic Site Info via Nikto
Command: nikto -host {Web_Proto}://{IP}:{Web_Port}

Entry_4:
Name: WhatWeb
Description: General purpose auto scanner
Command: whatweb -a 4 {IP}

Entry_5:
Name: Directory Brute Force Non-Recursive
Description:  Non-Recursive Directory Brute Force
Command: gobuster dir -w {Big_Dirlist} -u {Web_Proto}://{IP}:{Web_Port}

Entry_6:
Name: Directory Brute Force Recursive
Description: Recursive Directory Brute Force
Command: python3 {Tool_Dir}dirsearch/dirsearch.py -w {Small_Dirlist} -e php,exe,sh,py,html,pl -f -t 20 -u {Web_Proto}://{IP}:{Web_Port} -r 10

Entry_7:
Name: Directory Brute Force CGI
Description: Common Gateway Interface Brute Force
Command: gobuster dir -u {Web_Proto}://{IP}:{Web_Port}/ -w /usr/share/seclists/Discovery/Web-Content/CGIs.txt -s 200

Entry_8:
Name: Nmap Web Vuln Scan
Description: Tailored Nmap Scan for web Vulnerabilities
Command: nmap -vv --reason -Pn -sV -p {Web_Port} --script=`banner,(http* or ssl*) and not (brute or broadcast or dos or external or http-slowloris* or fuzzer)` {IP}

Entry_9:
Name: Drupal
Description: Drupal Enumeration Notes
Note: |
git clone https://github.com/immunIT/drupwn.git for low hanging fruit and git clone https://github.com/droope/droopescan.git for deeper enumeration

Entry_10:
Name: WordPress
Description: WordPress Enumeration with WPScan
Command: |
?What is the location of the wp-login.php? Example: /Yeet/cannon/wp-login.php
wpscan --url {Web_Proto}://{IP}{1} --enumerate ap,at,cb,dbe && wpscan --url {Web_Proto}://{IP}{1} --enumerate u,tt,t,vp --passwords {Big_Passwordlist} -e

Entry_11:
Name: WordPress Hydra Brute Force
Description: Need User (admin is default)
Command: hydra -l admin -P {Big_Passwordlist} {IP} -V http-form-post '/wp-login.php:log=^USER^&pwd=^PASS^&wp-submit=Log In&testcookie=1:S=Location'

Entry_12:
Name: Ffuf Vhost
Description: Simple Scan with Ffuf for discovering additional vhosts
Command: ffuf -w {Subdomain_List}:FUZZ -u {Web_Proto}://{Domain_Name} -H "Host:FUZZ.{Domain_Name}" -c -mc all {Ffuf_Filters}
```
<details>

<summary><strong>Naučite hakovanje AWS-a od nule do heroja sa</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (HackTricks AWS Red Team Expert)</strong></a><strong>!</strong></summary>

Drugi načini da podržite HackTricks:

* Ako želite da vidite **vašu kompaniju reklamiranu na HackTricks-u** ili **preuzmete HackTricks u PDF formatu** proverite [**PLANOVE ZA PRIJATELJSTVO**](https://github.com/sponsors/carlospolop)!
* Nabavite [**zvanični PEASS & HackTricks swag**](https://peass.creator-spring.com)
* Otkrijte [**Porodicu PEASS**](https://opensea.io/collection/the-peass-family), našu kolekciju ekskluzivnih [**NFT-ova**](https://opensea.io/collection/the-peass-family)
* **Pridružite se** 💬 [**Discord grupi**](https://discord.gg/hRep4RUj7f) ili [**telegram grupi**](https://t.me/peass) ili nas **pratite** na **Twitteru** 🐦 [**@carlospolopm**](https://twitter.com/hacktricks\_live)**.**
* **Podelite svoje hakovanje trikove slanjem PR-ova na** [**HackTricks**](https://github.com/carlospolop/hacktricks) i [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github repozitorijume.

</details>