В этой статье, я хочу познакомить Вас с довольно полезным инструментом, достойным занять свое место ящике инструментов пентестера.
111.png
Xattacker – это инструмент, для обнаружения и эксплуатации уязвимостей, на веб ресурсах.
Его основные функции, Get Shells | Sends | Deface | cPanels | Databases.
Установка:
Код:
git clone https://github.com/Moham3dRiahi/XAttacker
cd /XAttacker
chmod +x XAttacker.pl
222.png
Функциональные модули:
Auto Cms Detect
1. WordPress :
Adblock Blocker
WP All Import
Blaze
Catpro
Cherry Plugin
Download Manager
Formcraft
levoslideshow
Power Zoomer
Gravity Forms
Revslider Upload Shell
Revslider Dafece Ajax
Revslider Get Config
Showbiz
Simple Ads Manager
Slide Show Pro
WP Mobile Detector
Wysija
InBoundio Marketing
dzs-zoomsounds
Reflex Gallery
Creative Contact Form
Work The Flow File Upload
WP Job Manger
PHP Event Calendar
Synoptic
Wp Shop
Content Injection
2. Joomla:
Com Jce
Com Media
Com Jdownloads
Com Fabrik
Com Jdownloads Index
Com Foxcontact
Com Ads Manager
Com Blog
Com Users
Com Weblinks
mod_simplefileupload
3. DruPal:
Add Admin
4. PrestaShop
columnadverts
soopamobile
soopabanners
Vtermslideshow
simpleslideshow
productpageadverts
homepageadvertise
homepageadvertise2
jro_homepageadvertise
attributewizardpro
1attributewizardpro
AttributewizardproOLD
attributewizardpro_x
advancedslider
cartabandonmentpro
cartabandonmentproOld
videostab
wg24themeadministration
fieldvmegamenu
wdoptionpanel
pk_flexmenu
pk_vertflexmenu
nvn_export_orders
megamenu
tdpsthemeoptionpanel
psmodthemeoptionpanel
masseditproduct
5. Lokomedia
SQL injection
Запуск:
perl XAttacker.py
Если у Вас, есть список потенциально уязвимых ресурсов, то команда может выглядеть так:
perl XAttacker.pl -l list.txt
333.png
Далее, следуя подсказкам, формируем тип сканирования (инструмент поддерживает поиск по доркам, спискам сайтов и ip-адресов):
444.png
По его результатам принимаем решение о дальнейших действиях.
Вот здесь подробный фильм от разработчика на примере уязвимых сайтов, рассматриваются основные векторы атак.
Страница разработчика на Github, для тех, у кого еще остались вопросы. На этом, пожалуй, все, спасибо за внимание.