19 Snažni alati za ispitivanje prodora koje su profesionalci koristili 2021. godine

19 powerful penetration testing tools used pros 2021

Popis i usporedba najboljih alata za ispitivanje penetracije (sigurnosnih alata) koje koriste profesionalci. Za vas urađeno istraživanje!

Ne bi li bilo zabavno kad bi vas tvrtka unajmila da hakirate njezinu web stranicu / mrežu / poslužitelj? Pa da!

Ispitivanje prodorom, obično poznato kao testiranje olovkom, danas je u krugu ispitivanja. Razlog nije preteško pogoditi - s promjenom načina na koji se računalni sustavi koriste i grade, sigurnost zauzima središnje mjesto.

Iako tvrtke shvaćaju da svaki sustav ne mogu učiniti 100% sigurnim, izuzetno ih zanima znati s kakvim se sigurnosnim problemima bave.

Tu testiranje olovke dobro dolazi uz upotrebu etičkih tehnika hakiranja.

Za više detalja o ispitivanju penetracije možete provjeriti ove vodiče:

=> Ispitivanje prodiranja - cjelovit vodič
=> Ispitivanje sigurnosti web i desktop aplikacija

Pogledajmo sada brzo:

Što je ispitivanje penetracijom?

To je metoda ispitivanja u kojoj se ispituju područja slabosti softverskih sustava u smislu sigurnosti kako bi se utvrdilo je li doista 'slaba točka' ona u koju se može provaliti ili ne.

Izvedeno za : Web stranice / Poslužitelji / Mreže

Kako se izvodi?

Korak 1. Sve započinje popisom ranjivosti / potencijalnih problematičnih područja koja bi mogla prouzročiti narušavanje sigurnosti sustava.
Korak 2. Ako je moguće, ovaj se popis stavki rangira prema redoslijedu prioriteta / kritičnosti
Korak # 3. Testovi penetracije uređaja koji bi radili (napadali vaš sustav) i unutar mreže i izvan nje (izvana) rade se kako bi se utvrdilo možete li neovlašteno pristupiti podacima / mreži / poslužitelju / web mjestu.
Korak # 4. Ako je moguć neovlašteni pristup, tada se sustav mora ispraviti i treba ponoviti niz koraka dok se problematično područje ne popravi.

Tko vrši testiranje olovkom?

Ispitivači / Mrežni stručnjaci / Sigurnosni savjetnici provode testiranje olovkom.

Bilješka: Važno je napomenuti da testiranje olovkom nije isto što i testiranje ranjivosti. Namjera testiranja ranjivosti je samo identificirati potencijalne probleme, dok je testiranje olovkom napadanje tih problema.

Dobra vijest je da ne morate sami započeti postupak - već imate nekoliko alata koji su već dostupni na tržištu. Pitate se, zašto alati?

• Čak i ako osmislite test o tome što napadati i kako ga iskoristiti, puno alata dostupnih na tržištu može pogoditi problematična područja i brzo prikupiti podatke koji bi zauzvrat omogućili učinkovitu sigurnosnu analizu sustava.

Prije nego što proučimo detalje alata, što rade, gdje ih možete nabaviti itd., Želio bih naglasiti da se alati koje koristite za testiranje olovkom mogu svrstati u dvije vrste - jednostavnim riječima, su skeneri i napadači.

Ovo je zbog; po definiciji, testiranje olovkom iskorištava slabe točke. Dakle, postoje neki softveri / alati koji će vam pokazati slaba mjesta i neki koji se prikazuju i napadaju. Doslovno rečeno, 'show-eri' nisu alati za testiranje olovkom, ali su neizbježni za njegov uspjeh.

Sveobuhvatan popis najboljih alata za ispitivanje prodora ili sigurnosti koji koriste testeri za prodiranje:

Preporučeni alat za testiranje olovke:

=> Isprobajte najbolji alat za testiranje olovke Netsparker

Što ćete naučiti:

• Najbolji alati za ispitivanje proboja sigurnosti na tržištu
  • # 1) Mrežni parker
  • # 2) Acunetix
  • # 3) Utjecaj jezgre
  • # 4) Hackerone
  • # 5) uljez
  • # 6) Indusface JE BIO Besplatna provjera sigurnosti web stranica
  • # 7) BreachLock Inc.
  • # 8) Metasploit
  • # 9) Wireshark
  • # 10) w3af
  • # 11) Kali Linux
  • # 12) Nessus
  • # 13) Burp Suite
  • # 14) Kain i Abel
  • # 15) Zed napadački proxy (ZAP)
  • # 16) John Trbosjek
  • # 17) Retina
  • # 18) Sqlmap
  • # 19) Platno
  • Dodatni alati za pentestiranje
• Preko tebe
  • Preporučena literatura

Najbolji alati za ispitivanje proboja sigurnosti na tržištu

Popis najboljih sigurnosnih alata za testiranje koji bi svaki sigurnosni ispitivač trebao znati:

# 1) Mrežni parker

Netsparker mrtvo je precizan automatizirani skener koji će prepoznati ranjivosti kao što su SQL Injection i Cross-site Scripting u web aplikacijama i web API-ima. Netsparker jedinstveno provjerava identificirane ranjivosti, dokazujući da su stvarne, a ne lažno pozitivne.

Stoga ne morate gubiti sate ručno provjeravajući identificirane ranjivosti nakon završetka skeniranja.

Dostupan je kao Windows softver i mrežna usluga.

# 2) Acunetix

Acunetix je potpuno automatizirani skener ranjivosti na mreži koji otkriva i izvještava o preko 4500 ranjivosti web aplikacija, uključujući sve inačice SQL Injection i XSS.

Dopunjuje ulogu ispitivača penetracije automatiziranjem zadataka kojima ručno testiranje može potrajati satima, pružajući točne rezultate bez lažnih pozitivnih rezultata pri najvećoj brzini.

Acunetix u potpunosti podržava HTML5, JavaScript i aplikacije na jednoj stranici, kao i CMS sustave. Sadrži napredne ručne alate za ispitivače penetracije i integrira se s popularnim programima za praćenje problema i WAF-ovima.

# 3) Utjecaj jezgre

Utjecaj jezgre: S više od 20 godina na tržištu, Core Impact tvrdi da ima najveći raspon eksploatacija dostupnih na tržištu, a omogućuju vam i pokretanje besplatnih exploita Metasploit u njihovom okviru ako im nedostaje. Oni automatiziraju puno procesa s čarobnjacima, imaju cjelovit nadzorni trag, uključujući PowerShell naredbe, i mogu ponovno testirati klijenta jednostavnim ponovnim puštanjem revizijskog traga.

Core pišu vlastite 'komercijalne ocjene', a jamče kvalitetu i nude tehničku podršku oko tih iskustava i njihove platforme.

Tvrde da su tržišni lider i da su nekad imali cijenu koja se podudara. U novije vrijeme cijena je pala i imaju modele prikladne za korporativne i sigurnosne konzultacije.

# 4) Hackerone

Haker jedna je od najboljih platformi za sigurnosno testiranje. Može pronaći i popraviti kritične ranjivosti. Sve više i više tvrtki Fortune 500 i Forbes Global 1000 odabiru HackerOne jer pruža brzu isporuku na zahtjev. Možete započeti za samo 7 dana, a rezultate za 4 tjedna.

S ovom hakerskom sigurnosnom platformom nećete morati čekati da izvješće pronađe ranjivosti, upozorit će vas kada će ranjivost biti pronađena. Omogućit će vam izravnu komunikaciju sa svojim timom pomoću alata poput Slacka. Pruža integraciju s proizvodima kao što su GitHub i Jira, a vi ćete moći surađivati ​​s razvojnim timovima.

Pomoću HackerOnea moći ćete postići standarde usklađenosti poput SOC2, ISO, PCI, HITRUST, itd. Neće biti dodatnih troškova za ponovno testiranje.

Partneri tvrtke HackerOne uključuju američko Ministarstvo obrane, Google, CERT koordinacijski centar itd., A pronašli su preko 120.000 ranjivosti i nagradili preko 80 milijuna američkih dolara u koristima.

# 5)Uljez

Uljez moćan je skener ranjivosti koji pronalazi slabosti kibernetske sigurnosti u vašem digitalnom vlasništvu, objašnjava rizike i pomaže u njihovom otklanjanju prije nego što dođe do kršenja. Savršen je alat koji vam pomaže automatizirati napore za testiranje prodora.

S više od 9.000 dostupnih sigurnosnih provjera, Intruder čini skeniranje ranjivosti poduzeća dostupnim tvrtkama svih veličina. Sigurnosne provjere uključuju prepoznavanje pogrešnih konfiguracija, nedostajućih zakrpa i uobičajenih problema s web aplikacijama poput SQL ubrizgavanja i skriptiranja na više web lokacija.

Izgrađeni od iskusnih sigurnosnih stručnjaka, Intruder se brine za veći dio gnjavaže s upravljanjem ranjivostima, a time se možete usredotočiti na ono što je doista važno. Štedi vam vrijeme davanjem prioriteta rezultatima na temelju njihovog konteksta, kao i proaktivnim skeniranjem vaših sustava u potrazi za najnovijim ranjivostima, tako da zbog toga ne morate naglašavati.

Intruder se također integrira s glavnim pružateljima usluga u oblaku, kao i Slack & Jira.

# 6) Indusface JE BIO Besplatna provjera sigurnosti web stranica

Indusface je bio pruža ručno testiranje penetracije u paketu s vlastitim automatiziranim skenerom ranjivosti web aplikacija koji otkriva i prijavljuje ranjivosti na temelju OWASP top 10, a također uključuje provjeru reputacije web stranica, provjeru malware-a i oštećenja web stranice u svakom skeniranju.

Svaki kupac koji završi ručni PT automatski dobiva automatizirani skener i može ga koristiti na zahtjev tijekom cijele godine.

Sjedište tvrtke je u Indiji, a uredi su u Bengaluru, Vadodara, Mumbai, Delhi i San Francisco, a njihove usluge koristi više od 1100 kupaca u više od 25 zemalja širom svijeta.

Značajke:

• New age alat za indeksiranje za skeniranje aplikacija na jednoj stranici.
• Značajka pauze i nastavka
• Ispitivanje ručnog prodiranja i objavljivanje izvješća na istoj nadzornoj ploči
• Provjerite ima li infekcije zlonamjernim softverom, reputacije veza na web mjestu, oštećenja i neispravnih veza
• Neograničeni dokaz koncepta zahtijeva pružanje dokaza prijavljene ranjivosti i uklanjanje lažnih rezultata iz automatskih nalaza skeniranja
• Neobvezna integracija s Indusface WAF za pružanje trenutnog virtualnog zakrpa s Zero False positive
• Sposobnost automatskog proširenja pokrivenosti indeksiranjem na temelju stvarnih podataka o prometu iz WAF sustava (u slučaju da je WAF pretplaćen i korišten)
• Podrška 24 × 7 za raspravu o smjernicama za sanaciju i POC
• Besplatno probno razdoblje sa sveobuhvatnim jednim skeniranjem i bez potrebe za kreditnom karticom

# 7) BreachLock Inc.

Naziv proizvoda: RATA skener ranjivosti web aplikacija

RATA (Pouzdana automatizacija za testiranje napada) Skener za ranjivost web aplikacija prvi je industrijski automatizirani skener za ranjivost s umjetnom inteligencijom, oblakom i ljudskim hakerom.

RATA Web mrežni je skener ranjivosti za web stranice i ne zahtijeva sigurnosnu stručnost, instaliranje hardvera ili softvera. Sa samo nekoliko klikova možete pokrenuti skeniranje ranjivosti i dobiti izvještaj o nalazima koji uključuju preporuke za potencijalna rješenja.

Prednosti uključuju:

• Profesionalno PDF izvješće sa svim potrebnim detaljima.
• Pregledajte ranjivosti pomoću mrežnih izvješća.
• Integrirajte se u CI / CD alate poput Jenkins, JIRA, Slack i Trello.
• Skeniranja daju rezultate u stvarnom vremenu umanjeni za lažne pozitivne rezultate.
• Mogućnost pokretanja provjere autentičnosti za složene aplikacije.
• Skeniranja daju rezultate u stvarnom vremenu umanjeni za lažne pozitivne rezultate.
• Pokrenite planirano ili trenutno skeniranje s nekoliko klikova.
• Dodatak zasnovan na Chromeu za snimanje sesija prijave.

# 8) Metasploit

Ovo je najnapredniji i najpopularniji okvir koji se može koristiti za testiranje olovkom. Temelji se na konceptu 'eksploatacije', koji je kôd koji može nadmašiti sigurnosne mjere i ući u određeni sustav. Ako se unese, pokreće 'korisni teret', kôd koji izvodi operacije na ciljnom stroju, stvarajući tako savršen okvir za testiranje penetracije.

Može se koristiti u web aplikacijama, mrežama, poslužiteljima itd. Ima naredbenu liniju, a GUI sučelje na koje se može kliknuti radi na Linuxu, Apple Mac OS X i Microsoft Windows. Iako može biti dostupno nekoliko besplatnih ograničenih probnih verzija, ovo je komercijalni proizvod.

Web stranica: Metasploit

# 9) Wireshark

Ovo je u osnovi analizator mrežnog protokola - popularan za pružanje najsitnijih detalja o vašim mrežnim protokolima, podacima o paketima, dešifriranju itd. Može se koristiti na sustavima Windows, Linux, OS X, Solaris, FreeBSD, NetBSD i mnogim drugim sustavima.

Informacije do kojih se dolazi putem ovog alata mogu se pregledati putem GUI-a ili uslužnog programa TShark u načinu TTY. Svoju besplatnu verziju alata možete dobiti na donjoj poveznici.

Web stranica: Wireshark

# 10) w3af

W3af je okvir za napad i reviziju web aplikacija. Neke od njegovih značajki uključuju brze HTTP zahtjeve, integraciju web i proxy poslužitelja u kôd, ubrizgavanje korisnih tereta u razne vrste HTTP zahtjeva itd.

Ima sučelje naredbenog retka i radi na Linuxu, Apple Mac OS X i Microsoft Windows. Sve su verzije besplatne za preuzimanje.

Web stranica: w3af

# 11) Kali Linux

Kali Linux je projekt otvorenog koda koji održava Offensive Security. Nekoliko glavnih značajki Kali Linuxa uključuju pristupačnost, potpuno prilagođavanje Kali ISO-ova, USB USB s višestrukim postojanim trgovinama, potpuno šifriranje diska, pokretanje na Androidu, šifriranje diska na Raspberry Pi 2 itd.

Popisi alata, metapaketi i praćenje verzija neki su od alata za ispitivanje penetracije prisutni u Kali Linuxu. Za više informacija i za preuzimanje posjetite donju stranicu.

Web stranica: Kali Linux

# 12) Nessus

Nessus je također skener i na njega treba paziti. To je jedan od najrobusnijih dostupnih alata za identifikaciju ranjivosti. Specijalizirana je za provjere usklađenosti, pretraživanja osjetljivih podataka, skeniranje IP-ova, skeniranje web stranica itd. I pomaže u pronalaženju „slabih mjesta“.

Najbolje djeluje u većini okruženja. Za više informacija i za preuzimanje posjetite donju stranicu.

Web stranica: Nessus

# 13) Burp Suite

Burp Suite također je u osnovi skener (s ograničenim alatom za „uljeze“ za napade), iako se mnogi stručnjaci za sigurnosno testiranje zaklinju da je testiranje olovkom nezamislivo. Alat nije besplatan, ali je vrlo isplativ.

Pogledajte ga na donjoj stranici za preuzimanje. Uglavnom čini čuda s presretanjem proxyja, indeksiranjem sadržaja i funkcionalnosti, skeniranjem web aplikacija itd. To možete koristiti u Windows, Mac OS X i Linux okruženjima.

Web stranica: Suite podrigivanja

# 14) Kain i Abel

Ako je razbijanje šifriranih lozinki ili mrežnih ključeva ono što vam treba, tada je Cain & Abel savršen alat za vas.

Da bi se to postiglo, koristi se mrežnim njuškanjem, rječnikom, Brute-Force i Cryptanalysis napadima, otkrivanjem predmemorije i analizom protokola usmjeravanja. Ovo je isključivo za Microsoftove operativne sustave.

Web stranica: Kain i Abel

# 15) Zed napadački proxy (ZAP)

ZAP je potpuno besplatan za upotrebu, skener i pretraživač sigurnosnih ranjivosti za web aplikacije. ZAP uključuje aspekte presretanja proxyja, razne skenere, paukove itd.

Najbolje radi na većini platformi. Za više informacija i za preuzimanje posjetite donju stranicu.

Web stranica: ZAP

# 16) John Trbosjek

Još jedan kreker za lozinke u redu je John the Ripper. Ovaj alat radi u većini okruženja, iako je prvenstveno za UNIX sustave. Smatra se jednim od najbržih alata u ovom žanru.

Hash kod i lozinka za provjeru snage također su dostupni za integriranje u vaš vlastiti softver / kod koji mislim da je vrlo jedinstven. Ovaj alat dolazi u profesionalnom i besplatnom obliku. Posjetite njihovu web stranicu da biste dobili softver na ovoj stranici.

Web stranica: Ivana Trbosjeka

# 17) Retina

Za razliku od određene aplikacije ili poslužitelja, Retina cilja cijelo okruženje na određenu tvrtku / tvrtku. Dolazi u paketu nazvanom Retina Community.

To je komercijalni proizvod i svojevrsni je alat za upravljanje ranjivošću više od alata za testiranje olovkom. Radi na planiranju procjena i predstavljanju rezultata. Provjerite više o ovom paketu na donjoj stranici.

Web stranica: Mrežnica

# 18) Sqlmap

Sqlmap je ponovno dobar alat za testiranje olovke otvorenog koda. Ovaj se alat uglavnom koristi za otkrivanje i iskorištavanje problema s SQL ubrizgavanjem u aplikaciji i hakiranje poslužitelja baze podataka.

Dolazi sa sučeljem naredbenog retka. Platforma: Podržane platforme su Linux, Apple Mac OS X i Microsoft Windows. Sve verzije ovog alata su besplatne za preuzimanje. Pojedinosti potražite na donjoj stranici.

Web stranica: Sqlmap

# 19) Platno

najbolji youtube u mp4 pretvarač

CANVAS tvrtke Immunity široko je korišten alat koji sadrži više od 400 eksploatacija i više opcija korisnog tereta. Čini korisnim za web aplikacije, bežične sustave, mreže itd.

Ima sučelje naredbenog retka i GUI, najbolje radi na Linuxu, Apple Mac OS X i Microsoft Windows. Nije besplatno, a više informacija možete pronaći na donjoj stranici.

Web stranica: Platno

# 20) Priručnik za socijalne inženjere

Komplet alata socijalnih inženjera (SET) jedinstveni je alat u smislu da su napadi usmjereni na ljudski element, a ne na element sustava. Ima značajke koje vam omogućuju slanje e-pošte, Java apleta itd. Koji sadrže šifru napada. Podrazumijeva se da se ovaj alat koristi vrlo pažljivo i samo iz razloga bijelog šešira.

Ima sučelje naredbenog retka, radi na Linuxu, Apple Mac OS X i Microsoft Windows. Otvoreni je izvor i može se naći na donjoj stranici.

Web stranica: SET

# 21) Sqlninja

Kao što samo ime govori, Sqlninja je sve o preuzimanju DB poslužitelja pomoću SQL injekcije u bilo kojem okruženju. Ovaj proizvod sam po sebi tvrdi da nije toliko stabilan. Njegova popularnost ukazuje na to koliko je robusna već s iskorištavanjem ranjivosti povezane s DB-om.

Ima sučelje naredbenog retka, najbolje radi na Linuxu, Apple Mac OS X-u i ne na sustavu Microsoft Windows. Otvoreni je izvor i može se naći na donjoj stranici.

Web stranica: Sqlninja

# 22) Nmap

'Network Mapper', iako ne nužno alat za testiranje olovke, nužan je alat za etičke hakere. Ovo je vrlo popularan alat za hakiranje koji uglavnom pomaže u razumijevanju karakteristika bilo koje ciljne mreže.

Karakteristike uključuju hosta, usluge, OS, filtre za paket / vatrozid itd. Radi u većini okruženja i otvorenog je izvora.

Web stranica: Nmap

# 23) BEEF

BeEF je skraćenica od The Browser Exploitation Framework. To je alat za testiranje penetracije koji se fokusira na web preglednik, što znači da koristi prednost činjenice da je otvoreni web preglednik prozor (ili pukotina) u ciljani sustav i od ove točke osmišljava svoje napade.

Ima GUI sučelje, radi na Linuxu, Apple Mac OS X i Microsoft Windows. Otvoreni je izvor i može se naći na donjoj stranici.

Web stranica: Govedina

# 24) drade

Dradis je okvir otvorenog koda (web aplikacija) koji pomaže u održavanju informacija koje se mogu podijeliti među sudionicima testa olovke. Prikupljene informacije pomažu razumjeti što se radi i što treba učiniti.

Ovu svrhu postiže pomoću dodataka za čitanje i prikupljanje podataka iz mrežnih alata za skeniranje poput Nmap, w3af, Nessus, Burp Suite, Nikto i mnogih drugih. Ima GUI sučelje, radi na Linuxu, Apple Mac OS X i Microsoft Windows. Otvoreni je izvor i može se naći na donjoj stranici.

Web stranica: drade

# 25) Probely

Ispitajte svoje web aplikacije kako biste pronašli ranjivosti ili sigurnosne probleme i pružite smjernice kako ih popraviti, imajući na umu programere.

Probely ne sadrži samo elegantno i intuitivno sučelje, već također slijedi razvojni pristup API-First, pružajući sve značajke putem API-ja. To omogućuje integriranje Probely-a u cjevovode za kontinuiranu integraciju kako bi se automatiziralo sigurnosno testiranje.

Probely pokriva OWASP TOP10 i tisuće drugih ranjivosti. Također se može koristiti za provjeru specifičnih zahtjeva PCI-DSS, ISO27001, HIPAA i GDPR.

Nadamo se da će ovo potaknuti vaše zanimanje za polje Ispitivanje olovkom i pružiti vam potrebne informacije za početak. Riječ opreza: sjetite se nositi svoj 'bijeli šešir' jer s velikom snagom dolazi i velika odgovornost - a mi ne želimo biti ti koji će ga zloupotrijebiti.

# 26) Špijun

Spyse je tražilica koja prikuplja, obrađuje i pruža strukturirane informacije o mrežnim elementima pomoću OSINT mehanike. Spyse tražilice imaju sve što bi testerima moglo biti potrebno za cjelovito web izviđanje.

Svi korisnici mogu izvršiti detaljno pretraživanje sljedećih elemenata mreže:

• Domene i poddomene
• IP adrese i podmreže
• SST / TLS certifikati (pronađite datum isteka, izdavatelja certifikata itd.)
• Protokoli
• Otvorite luke
• WHOIS zapisi
• DNS zapisi
• Autonomni sustavi

Ovo je samo dio stvari koje Spyseova tražilica može učiniti.

Dodatni alati za pentestiranje

Gore navedeno je ogroman popis alata za prodiranje, ali to nije kraj. Postoji još nekoliko alata i softvera koji u novije vrijeme uzimaju maha.

Evo ovih:

# 27)Ettercap: Alat za analizu mreže i domaćina koji između ostalog pruža njuškanje i seciranje protokola. Web stranica .

# 28)Veracode: Surađuje s procesom razvoja koda kako bi se osigurala sigurnost i smanjile ranjivosti na izvornoj razini. Web stranica .

# 29)Aircrack-ng: Snima pakete podataka i koristi ih za oporavak 802.11 WEP i WPA-PSK ključeva. Web stranica

# 30)Arachni: Ovo je Ruby okvir koji pomaže u analizi sigurnosti web aplikacija. Izvodi metaanalizu HTTP odgovora koje dobiva tijekom postupka revizije i predstavlja različite uvide u to koliko je sigurna aplikacija. Web stranica

Preko tebe

Jeste li već provodili testiranje olovkom? Ako je odgovor pozitivan, podijelite svoja iskustva. Koji alat za testiranje sigurnosti i prodora koristite? Ako smo propustili bilo koji važan alat na ovom popisu, javite nam u komentarima ispod.

Preporučena literatura

• Testiranje mrežne sigurnosti i najbolji alati mrežne sigurnosti
• Vodič za početnike za ispitivanje prodora web aplikacija
• Vodič za ispitivanje sigurnosti web aplikacija
• 10 najboljih alata za testiranje sigurnosti mobilnih aplikacija u 2021. godini
• Vrh 4 Alata za testiranje sigurnosti otvorenog koda za testiranje web aplikacija
• 10 najpopularnijih alata za ispitivanje regresije 2021
• 11 najboljih alata za automatizaciju za testiranje Android aplikacija (Android Tools Testing Tools)
• Razlika u procjeni ranjivosti i ispitivanju penetracije