pyfiscan

Über

Pyfiscan ist ein freier Schwachstellen- und Versionsscanner für Webanwendungen und kann verwendet werden, um veraltete Versionen gängiger Webanwendungen auf Linux-Servern zu finden. Ein Beispiel für die Verwendung sind Hosting-Anbieter, die die Installationen ihrer Benutzer im Auge behalten, um mit Sicherheitsupdates Schritt zu halten. Fingerabdrücke sind einfach zu erstellen und zu ändern, da der Benutzer sie in YAML-Syntax schreiben kann. Pyfiscan enthält auch ein Werkzeug zum Erstellen von E-Mail-Benachrichtigungen mithilfe von Vorlagen.

Anforderungen

• Python 3
• Python modules PyYAML docopt chardet
• GNU/Linux-Webserver

Tests werden hauptsächlich mit GNU/Linux Debian stable durchgeführt. Windows wird derzeit nicht unterstützt.

Erkennt folgende Software

• Abantecart
• ATutor
• b2evolution
• BigTree CMS
• Bugzilla
• Centreon
• Claroline
• ClipperCMS
• CMSimple
• CMSimple_XH
• CMSMS
• Collabtive
• Concrete5
• Coppermine
• Cotonti
• Croogo
• CubeCart
• Dolibarr
• Dotclear
• Drupal
• e107
• Elefant CMS
• EspoCRM
• Etherpad
• flatCore CMS
• FluxBB
• Foswiki
• FUEL CMS
• Gallery
• Gollum
• HelpDEZk
• HumHub
• ImpressCMS
• ImpressPages
• Jamroom
• Joomla
• Kanboard
• KCFinder
• LiteCart
• Magnolia
• Mahara
• MantisBT
• MediaWiki
• Microweber
• MiniBB
• MODX Revolution
• MoinMoin
• MyBB
• Nibbleblog
• Open Source Social Network
• OpenCart (empfiehlt, diese Software nicht zu verwenden)
• osDate
• ownCloud
• Oxwall
• PBBoard
• phpBB3
• PhpGedView
• phpLiteAdmin
• phpMyAdmin
• Piwigo
• Piwik
• PmWiki
• Postfix Admin
• Redaxo
• Redmine
• Roundcube
• SaurusCMS
• Serendipity
• Shaarli
• Shopware
• SMF
• Spina CMS
• SPIP
• SQLiteManager
• SquirrelMail
• TestLink
• TikiWiki
• Trac
• Vanilla Forums
• WikkaWiki
• WordPress
• Zenario
• Zenphoto
• Zikula

Erkennt folgende Software am Ende ihres Lebenszyklus:

• Bugzilla 4.2 ist seit dem 2015-11-30 nicht mehr unterstützt.
• Drupal 6 ist seit dem 2016-02-24 nicht mehr unterstützt.
• Drupal 9.0 nicht mehr unterstützt
• Gallery 1
• Joomla 1.5 ist seit dem 2012-04-30 nicht mehr unterstützt
• Joomla 1.6 ist seit dem 2011-08-19 nicht mehr unterstützt. 1.6.x sollte vor dem Wechsel zu 1.7.x auf 1.6.6 aktualisiert werden
• Joomla 1.7 ist seit dem 2012-02-24 nicht mehr unterstützt
• Joomla 2.5
• MediaWiki 1.18
• MediaWiki 1.19 ist seit dem 2015-04-25 nicht mehr unterstützt
• MediaWiki 1.20
• MediaWiki 1.21 ist seit dem 2014-06-25 nicht mehr unterstützt
• MediaWiki 1.22
• MediaWiki 1.23 ist seit dem 2017-05-31 nicht mehr unterstützt
• MediaWiki 1.24
• MediaWiki 1.25
• MediaWiki 1.26 ist seit dem 2016-11-20 nicht mehr unterstützt
• MediaWiki 1.27 ist seit dem 2019-06-06 nicht mehr unterstützt
• MediaWiki 1.28 ist seit dem 2017-11-01 nicht mehr unterstützt
• MediaWiki 1.29 ist seit dem 2018-06 nicht mehr unterstützt
• MediaWiki 1.30 ist seit dem 2019-06-06 nicht mehr unterstützt
• MediaWiki 1.31 ist seit dem 2021-09-30 nicht mehr unterstützt

Installation

sudo apt install python3 python3-pip git virtualenv
git clone https://github.com/fgeek/pyfiscan.git && cd pyfiscan
virtualenv -p python3 venv
source ./venv/bin/activate
pip3 install -r requirements.lst

oder Sie können BlackArch Linux verwenden.

Anmerkungen

• WordPress
  • Ankündigung eines sicheren SWFUpload-Forks
• Joomla
  • Das Upgrade sollte über "Erweiterungsmanager -> Upgrade" in Version 1.6.6 und später erfolgen
  • Release- und Support-Zyklus
  • Checkliste für Setup-Sicherheit
  • Upgrade und Migration von Joomla
  • Joomla 2.x erstellt zufälliges SQL-Tabellenpräfix
  • Joomla 3.x informiert und zeigt dem Benutzer eine Schaltfläche zum Entfernen des Installationsverzeichnisses an
  • Erstellt ./configuration.php während der Installation
  • Erstellt robots.txt, welches das Wort "Joomla" enthält
• SMF
  • Ende der Unterstützung von SMF 1.0
  • Installer bittet Benutzer per Schaltfläche, install.php zu löschen
• TikiWiki
  • Ende der Unterstützung von TikiWiki 7.x
  • 8.4 ist letztes Release von TikiWiki 8.x
  • Ende der Unterstützung von TikiWiki 8.x
• MediaWiki
  • Ende der Unterstützung von 1.18.x
• Gallery
  • Nicht installiert, wenn config.php fehlt.
  • http://codex.galleryproject.org/Gallery2:Security
  • Upgrade durchführen mit: http://example.org/gallery3/index.php/upgrade php index.php upgrade
• phpBB (Version unbekannt)
  • Eine offene Installation ist keine Schwachstelle, da die Weboberfläche den Benutzer auffordert, sich durch Einfügen zufälliger Daten in eine Datei zu authentifizieren.
• Coppermine
  • Nicht installiert, wenn include/config.inc.php fehlt.

Zufriedene Benutzer

• DevNet Oy
• Kapsi Internet-käyttäjät ry
• Shellit.org
• Loopia.se

Mitwirkende

• aapa
• Ari-Martti Hopiavuori
• Atte H. "guaqua"
• Janne Cederberg
• Joonas Kuorilehto
• Juhamatti Niemelä
• Linus Fogelholk
• motikan2010
• Olli Pekkola
• Paul Grant
• Tuomo Komulainen