OWASP SAPKiln

Die Welt 🌎 von SAP ist sehr umfangreich und einzigartig. SAP bietet verschiedene Produkte zur Lösung unterschiedlicher Probleme sowie mehrere Technologieplattformen wie NetWeaver usw. SAPKiln ist ein Open-Source-GUI-Tool 💻, das Sicherheitsforscher dabei unterstützt, effiziente Audits und Penetrationstests von SAP-Systemen über SAP Logon/GUI (Desktop-Anwendung) durchzuführen. Es richtet sich sowohl an erfahrene SAP-Experten als auch an diejenigen, die mit der SAP-Umgebung nicht vertraut sind, da es den Prozess der Durchführung von Sicherheitsprüfungen mit einer benutzerfreundlichen Oberfläche ✨ vereinfacht.

Angetrieben 🔋 von saplogon.exe und SAP-Scripting im Hintergrund führt SAPKiln automatisierte Prüfungen im SAP-System durch. Die aktuelle Version (v1.0) bietet eine umfassende Sammlung von über 70+ Prüfungen ❗, die in 10 Module unterteilt sind. Über die integrierten Prüfungen hinaus bietet SAPKiln mit dynamischen Prüfungen Flexibilität, die benutzerdefinierte Eingaben ermöglichen. Durch die Automatisierung von Sicherheitsbewertungen überbrückt SAPKiln effektiv die Wissenslücke für Sicherheitsforscher 👮 im Vergleich zu SAP-Domänenexperten 👓.

Enthaltene Module 🌀

• Anmeldeversuch mit Standard-SAP-Anmeldedaten
• Aufzählung zugänglicher T-Codes
• Aufzählung zugänglicher Tabellen
• Aufzählung der Nutzung des SAP_ALL-Profils
• Aufzählung der Passwortrichtlinien
• Aufzählung schwacher Passwort-Hashes (Benutzer)
• Aufzählung schwacher Passwort-Hashes (Hashes)
• Ausführung von OS-Befehlen - RSBDCOS0
• Ausführung von OS-Befehlen - SAPXPG
• Aufzählung von Instanzen für laterale Bewegung

Installation 🛠️

git clone https://github.com/alexdevassy/SAPkiln.git
cd SAPKiln
pip install -r requirements.txt

*SAPKiln v1.0 wird nur unter Windows unterstützt, da es von der pywin32-Bibliothek abhängt. Getestet wurde es unter Windows 10 mit Python 3.10.11.

Voraussetzungen 🚧

Stellen Sie vor der Ausführung von SAPKiln sicher, dass die folgende Voraussetzung erfüllt ist.

• Die SAP-Scripting-Funktion ist im Backend-SAP-System aktiviert.
  • Um SAP Scripting zu aktivieren, führen Sie den Transaktionscode "RZ11" aus, suchen Sie nach "sapgui/user_scripting" und ändern Sie dessen Wert von "False" auf "True".

Optionale Voraussetzungen

• Die SAP-Scripting-Optionen sind in der SAP GUI deaktiviert.
  • Navigieren Sie in der SAP GUI zu "Optionen", innerhalb der Optionen zu "Bedienungshilfen und Scripting" -> "Scripting". Und deaktivieren Sie die folgenden Optionen
    • "Bei Anschluss eines Skripts an die SAP GUI benachrichtigen"
    • "Beim Öffnen einer Verbindung durch ein Skript benachrichtigen"

Verwendung 👾

python .\SAPKiln.py

https://github.com/OWASP/OWASP-SAPKiln/assets/31893005/7a28e87c-3b40-4ea0-88cd-510088d5f392