,

Joomla Scan con Multi Threading (v0.5beta)

Ho  appena rilasciato la Quinta Beta di Joomla Scan, per chi non conoscesse questo mio progetto permette di scansionare un sito internet costruito con il CMS Joomla alla ricerca dei componenti/estensioni installate.

La novità principale di questa versione è l’introduzione del Multi Threading, di default lo script esegue 10 analisi contemporanee ma il valore è ovviamente personalizzabile. Inoltre è stato aggiornato il database dei componenti e effettuati fix minori. Nello screenshot seguente potete visualizzare i benefici di una scansione effettuata con e senza Multi Threading.

Il prossimo step sarà quello di rendere personalizzabile l’User Agent e il Time Out della connessione. Successivamente verrà poi introdotta l’identificazione della versione di Joomla e la ricerca dei moduli.

JoomlaScan è rigorosamente OpenSource e disponibile sul mio repository di GitHub, qualsiasi commento e/o critica sono ben accetti!

,

[AGGIORNATO] Carola Frediani Feed RSS

Carola_Feed

Come tutti gli addetti alla Sicurezza Informatica ormai sanno c’è una bravissima giornalista che racconta in maniera molto precisa e tecnica i fatti di cronaca del mondo IT.

Sto parlando di Carola Frediani, giornalista della La Stampa, purtroppo il quotidiano per cui lavora non permette di effettuare ricerche sul singolo autore ne tanto meno ricevere notifiche su nuove pubblicazioni di un autore preciso.

Nonostante la nostra amicizia su Facebook e Twitter a volte perdo per strada i suoi nuovi articoli, ho quindi pensato di realizzare un semplice progetto Open Source in grado di realizzarmi un Feed RSS di tutti gli articoli che Carola scrive per La Stampa.

Il codice del progetto, scritto in Python, è disponibile su GitHub e su carola.draghetti.it rss.draghetti.it potete invece trovare il file XML che viene generato automatico ed inserirlo nel vostro aggregatore RSS. È inoltre disponibile un Canale Telegram creato da Simon in cui vengono inviate le notifiche generate dal mio Feed.

Il funzionamento dello script è veramente semplice, ogni 30 minuti analizza il Feed RSS integrale della La Stampa e per ogni nuovo articolo pubblicato fa uno scrap del codice HTML alla ricerca del tag article-author. Se il tag contiene “Carola Frediani” verrà aggiornato il Feed RSS dedicato includendo il Titolo, Link, Data approssimativa e un estratto dell’articolo.

Spero possa tornare utile a chiunque voglia rimanere aggiornato sul mondo dell’IT Security, il progetto è Open quindi eventuali Commit e/o critiche sono benvenuti! 😉

,

Joomla Scan – Un script per analizzare il CMS Joomla

Joomla Scan 0.4bI primi giorni di Febbraio in prospettiva del mio nuovo lavoro al D3Lab, ho iniziato a sviluppare un software alternativo all’ormai famoso OWASP JoomScan che purtroppo non riceve aggiornamenti da oltre 3 anni. Oggi ho pubblicato su GitHub la versione 0.4 Beta del mio Joomla Scan, il software è ancora in fase beta ma permette di eseguire una scansione sfruttando un database di oltre 600 componenti.

Lo scopo di questo script non è quello di cercare vulnerabilità, almeno non direttamente, ma quello di individuare i componenti installati sul CMS Joomla ed eventuali informazioni aggiuntive. Per informazioni aggiuntive intendo un file readme, lincese, manifest o magari se la directory del componente è esplorabile. Tutte queste funzioni permettono poi all’utente di ricercare sui principali motori di ricerca eventuali exploit.

Lo script ad oggi permette:

  • Scansionare oltre 600 componenti conosciuti di Joomla;
  • Individuare cartelle esplorabili (Index of…);
  • Individuare componenti disabilitati o dedicati al solo amministratore;
  • Individuare ogni file utile per identificare la versione del componente (Readme, License, Manifest, ecc);
  • Individuare i file robots.txt e error_log.

In futuro prevedo di implementare:

  • Multi Thread (È assolutamente la prima funzione da implementare, analizzare oltre 600 componenti rende la scansione molto lenta);
  • Individuare la versione di Joomla CMS;
  • Integrare la scansione dei Moduli di Joomla;
  • Permettere all’utente di personalizzare l’useragent o randomizzarlo;
  • Permettere all’utente di personalizzare il tempo di timeout (ad ora impostato a 5 secondi).

Nell’immagine di apertura trovate un esempio di scansione, in questo esempio lo script ha trovato 14 componenti di cui 2 con directory esplorabili, 2 probabilmente non attivi e 3 dedicati all’amministratore.

Il software è Open Source, per chi fosse interessato a provarlo o a partecipare al progetto trova i sorgenti su GitHub. Ogni giudizio è assolutamente ben gradito, chiedo venia fin da ora sulla mia programmazione in Python poiché sono alle prime armi con questo linguaggio che ogni giorno mi mostra le sue potenzialità.

Wordbrutepress – WordPress Brute Force Multithreading

Wordbrutepress

Si chiama Wordbrutepress ed è uno script in Python scritto da Claudio Vivani in grado di effettuare un attacco a dizionario verso il CMS WordPress sfruttando il multithreading. La funzione che rende particolare questo script è la possibilità di effettuare tentativi di login attraverso il protocollo XML-RPC oltre alla classica pagina di amministrazione. Inoltre il tool supporta il protocollo SSL e randomizza l’User Agent per eventuali blocchi da parte dei WaF.

Il tool è Open Source e per chi fosse interessato a provarlo lo trovo su GitHub.

,

DDoS PHP Script!

PHP DDoS ScriptNell’underground dei Black Market vendono pacchetti di attacchi DDoS, TrenMicro in un report del 2012 ci fornisce alcuni dettagli sui prezzi variabili in base alla durata, al numero di server sfruttati per l’attacco e dalla banda complessiva che i server nominalmente riescono a generare. Gli attacchi generalmente vengono lanciati tramite script Pyhton (Hammer ne è un esempio) direttamente da riga di comando, ma nel mio caso volevo dimostrare come un sito internet violato potesse diventare un ottimo vettore per lanciare un attacco DoS! Supponendo quindi di non aver accesso al terminale ma di poter veicolare l’attacco attraverso il WebServer.

Riproducendo questa casistica non potevo affatto pensare di scaricare il codice in Python ed eseguirlo sul mio server (anche se possiedo i permessi di root), non sarebbe il caso che voglio dimostrare. Violato un WebServer solitamente l’attaccante deve apprenderne la configurazione per accertarsi se puoi eseguire codice a sua discrezione o se vi sono limitazioni anche nella sola creazione di nuovi file, solitamente infatti non si può eseguire codice in C o in Python ma è  più probabile che il WebServer ci permetta l’esecuzione di codice in PHP vista l’importanza di questo linguaggio nella creazione di siti web. Certo il Python come il RoR stanno prendendo sempre più piede nel mondo web, ma anche senza statistiche alla mano credo sia più facile eseguire codice PHP che Python su un sito web violato (:D sempre pronto ad essere smentito se qualcuno ha dati diversi).

Ho così deciso di scrivere 20/30 righe di codice PHP con lo scopo di effettuare diverse centinaia di richieste UDP attraverso la funzione fsockopen(), eseguendo così un attacco denominato UDP Flood. Il funzionamento è veramente basilare, attraverso una richiesta GET passavo allo script l’IP Target, la porta e la durata dell’attacco in secondi. Lo script attraverso un ciclo while eseguiva quindi l’attacco per tutto il tempo che gli era stato specificato.

Poi ho iniziato a guardarmi in giro ed effettivamente di codice per lanciare attacchi DoS tramite PHP non ne ho visto molti, anzi quasi nessuno (questo per esempio non è più disponibile mi segnalano che è disponibile il sorgente qui!), ho così deciso di pubblicare su GitHub il mio piccolo script per eventuali usi futuri…un promemoria nulla di più!

Se volete quindi provare il codice, criticarlo, migliorarlo o semplicemente scaricarlo lo trovate su GitHub.

Il successo dell’Open Source, mai mi sarei aspettato di ricevere tanto successo da un codice di 20 righe! Il progetto che inizialmente prevedeva solo una chiamata GET e una risposta “OK” tramite la funzione echo quando l’attacco era completato ora vanta un interfaccia CLI, maggior personalizzazione dei parametri (es. è possibile personalizzare la dimensione e la quantità dei pacchetti da inviare durante l’attacco), protezione dello script tramite una password, esecuzione randomatico dell’attacco sulle diverse porte del server, un output accurato in grado di indicarci il numero di pacchetti inviati e la loro dimensione in Tb, Gb, Mb o Kb e infine una GUI. In meno di una settimana ho ricevuto 14 Pull Request e diversi commenti e suggerimenti.

PHP DDoS Script UDP Flood

Voglio quindi ringraziare @TheZer0, @Smaury, @moty66 per l’ottimo supporto che mi stanno dando nel migliorare questa mia piccola creatura.

Un piccolo Disclaimer finale è doveroso, il PHP DDoS Script come ho già spiegato l’ho scritto a scopo didattico e non mi assumo alcuna responsabilità per l’utilizzo non appropriato.

Ah dimenticavo DDoS o DoS Script?!? Ne ho parlato con i “colleghi” del BackBox Team e alla fine ho deciso di chiamarlo DDoS in quanto non è lo script che diversifica il tipo di attacco, ma dipende tecnicamente da quante macchine lo eseguono contemporaneamente e un vero attaccante dubito lo esegua da una sola macchina 🙂

dirs3arch – HTTP(S) directory/file brute forcer

dirs3arch

Over Security is changing, not only graphically! Often I was urged to write articles in English, I want to start now! I ask you already apologize, because I admit to being ignorant with foreign languages. I hope you will forgive me and I’ll do my best!

Dirs3arch is a new and simple command line tool designed to brute force directories and files in websites.  I discovered thanks to my friend Alessio Dalla Piazza, is an alternative to DirBuster OWASP.

The software is written in Python so multiplatform and it is a command like application.

The feature of dirs3arch are the following:

  • Multithreaded
  • Keep alive connections
  • Support for multiple extensions (-e|–extensions asp,php)
  • Reporting (plain text, JSON)
  • Detect not found web pages when 404 not found errors are masked (.htaccess, web.config, etc).
  • Recursive brute forcing
  • HTTP(S) proxy support

The software is open source and available on GitHub, if you want to try it from the terminal type:

git clone https://github.com/maurosoria/dirs3arch.git
cd dirs3arch
python dirs3arch.py

The latest version of dirs3arch is 3, released last February and this is the changelog :

  • Ported to Python3
  • Fixed issue3
  • Fixed timeout exception
  • Other bugfixes

To download the dirs3arch you can click here, finally I anticipate that maybe you will find this tools in BackBox Linux.